패리티 멀티시그 지갑 동결 사고

1.사고 경위#

패리티의 다중서명 지갑들은 실제 잠금·서명 로직을 별도의 '라이브러리' 컨트랙트에 위임해 두고, 개별 지갑은 이 라이브러리를 호출만 하는 구조였다. 2017년 11월 6일 스스로를 초보자라 밝힌 이용자 'devops199'가 이 라이브러리 컨트랙트의 소유자 등록 함수를 호출해 자신을 소유자로 만든 뒤, 실수로 컨트랙트를 없애는 자멸(self-destruct) 함수를 실행했다. 라이브러리 컨트랙트가 사라지자 이를 참조하던 지갑 587개가 한꺼번에 작동을 멈췄고, 그 안에 있던 이더 51만 3,774개(당시 시세로 약 2억 8,000만~3억 3,000만 달러 상당)가 어떤 서명으로도 꺼낼 수 없는 상태가 됐다. 패리티는 같은 해 7월에도 다른 결함으로 지갑 3개에서 약 3,000만 달러 상당의 이더를 도난당한 바 있다.

2.복구 시도와 결과#

패리티 개발자 아프리 쇼돈(Afri Schoedon)은 하드포크로 라이브러리 컨트랙트를 복원해 동결된 자금을 되찾자는 제안(EIP-999)을 냈다. 그러나 2018년 4월 진행된 이더리움 커뮤니티 투표에서 찬성 300표, 반대 330표, 기권 9표로 부결됐다. 절도로 자금을 잃은 더 다오 사건에서는 하드포크로 구제한 전례가 있었던 반면, 이번에는 고의적 공격이 아닌 실수로 인한 손실이라는 점에서 커뮤니티의 판단이 갈렸다. 패리티는 이더리움 체인을 쪼개면서까지 자금을 되찾을 뜻이 없다고 밝혔고, 해당 이더는 이후로도 동결된 채로 남아 있다.

3.연표2건

1. 2017.11사건devops199, 패리티 라이브러리 컨트랙트를 실수로 파괴 — 지갑 587개·이더 51만3,774개 동결
2. 2018.04규제EIP-999(동결 자금 복구 하드포크) 커뮤니티 투표 부결