더 다오 해킹

1.더 다오의 등장#

더 다오는 독일 스타트업 슬록잇(Slock.it)의 크리스토프 옌치(Christoph Jentzsch) 등이 설계한 투자형 탈중앙화 자율 조직으로, 토큰 보유자가 프로젝트 제안에 투표해 자금 집행을 결정하는 구조였다. 2016년 4월 30일부터 5월 28일까지 진행된 크라우드세일에는 1만 1,000명 넘는 참여자가 몰렸고, 이더 1,270만 개가량(당시 시세로 1억 5,000만~1억 6,800만 달러 상당, 산정 시점에 따라 추정치가 다르게 보도됨)이 모여 그때까지 최대 규모의 크라우드펀딩으로 기록됐다.

2.공격과 화이트해커의 반격#

2016년 6월 17일, 공격자는 더 다오 컨트랙트의 출금 함수가 잔액을 갱신하기 전에 반복 호출을 허용하는 결함(재진입 취약점)을 악용해 자금을 자신이 만든 '자식 다오'로 빼돌리기 시작했다. 이 과정에서 이더 360만 개(당시 시세로 약 5,000만~6,000만 달러 상당)가 유출됐다. 나흘 뒤인 6월 21일, 그리프 그린 등 이더리움 개발자들로 구성된 '로빈후드 그룹'이 같은 결함을 이용해 남아 있던 이더 720만 개를 먼저 인출해 격리하는 맞대응에 나섰다.

3.하드포크와 두 체인으로의 분리#

이더리움 재단과 커뮤니티는 탈취된 자금을 되돌리는 하드포크를 시행할지를 두고 격론을 벌였다. 블록체인은 무엇으로도 되돌릴 수 없어야 한다는 "코드가 곧 법이다" 원칙을 지키자는 쪽과, 명백한 절도 피해자를 구제해야 한다는 쪽이 맞섰다. 2016년 7월 16일 진행된 토큰 기반 투표(카본보트)에서는 유통량의 5.5%가량이 참여해 87%가 하드포크에 찬성했다. 2016년 7월 20일 블록 192만 번에서 하드포크가 실행돼 탈취된 자금을 인출용 컨트랙트로 옮긴 새 체인이 "이더리움"이 됐고, 이를 거부하고 기존 체인을 지킨 참여자들은 "코드는 법이다" 원칙을 내세워 이더리움클래식으로 갈라섰다. 이듬해인 2017년 7월 미국 증권거래위원회(SEC)는 더 다오 토큰이 하위 테스트 상 증권에 해당한다는 보고서를 내며 암호화폐 토큰에 대한 최초의 증권성 판단 사례를 남겼다.

4.연표5건

1. 2016.04이정표더 다오 크라우드세일 시작(~5월28일, 이더 1,270만개 모금)
2. 2016.06사건공격자, 재진입 결함을 악용해 이더 360만개 탈취
3. 2016.06사건로빈후드 그룹, 남은 이더 720만개를 화이트해킹으로 선제 인출
4. 2016.07규제하드포크 시행, 이더리움과 이더리움클래식으로 분리(블록 192만)
5. 2017.07규제미국 SEC, 더 다오 토큰 증권성 보고서 발표