버지 타임스탬프 공격

1.다섯 알고리즘과 타임스탬프#

버지는 도지코인에서 갈라져 나온 코인으로, 여러 채굴 알고리즘을 번갈아 쓰는 방식을 택했다. 스크립트, x17, 라이라 등 알고리즘마다 블록을 나눠 캐도록 해 한 종류의 채굴 장비가 네트워크를 독점하지 못하게 하려는 설계였다. 원칙상 다음 블록은 직전 블록과 다른 알고리즘으로 캐야 했다.

수프르노바 채굴 풀 운영자로 알려진 비트코인톡 이용자 OCminer는 이 규칙에 버그가 있다고 설명했다. 블록을 제출할 때 타임스탬프를 한 시간 전으로 꾸미면 네트워크는 해당 알고리즘의 마지막 블록이 한 시간 전에 나왔다고 판단한다. 그러면 바로 다음 블록은 제 시각을 적어도 체인에 붙고, 이 과정을 반복하면 같은 알고리즘으로 블록을 잇달아 만들 수 있었다. 공격자는 이렇게 1초에 한 블록꼴로 블록을 만들어 냈다.

2.4월 공격과 하드 포크#

버지 공식 계정은 2018년 4월 4일 "약 3시간 동안 작은 해시 공격이 있었고 이제 정리됐다"고 알렸다. 더 넥스트 웹은 이때 공격자가 XVG 25만 개를 가져갔다고 전했고, 더 레지스터는 포럼 분석을 인용해 피해를 약 100만 달러로 추정했다. OCminer는 이를 사실상의 51% 공격이라고 봤다.

개발팀은 공격 블록을 되돌리려고 하드 포크를 했다. 그러나 암호화폐 매체 더 머클에 따르면 이 포크 때문에 네트워크 전체가 동기화되지 않는 문제가 생겼고, 팀이 실수를 알고 다시 동기화한 뒤에도 문제는 완전히 해결되지 않았다. 이 무렵 버지는 공식 트위터 계정이 해킹당한 데 이어, 300만 달러 모금을 먼저 요청한 끝에 성인 사이트 폰허브와의 결제 제휴를 발표해 화제가 되기도 했다.

3.5월 재공격#

2018년 5월 22일 같은 허점이 다시 공격당했다. OCminer는 공격자가 스크립트 알고리즘 하나로 1초 간격의 블록을 연달아 캤다고 밝혔다. 몇 시간 동안 XVG 약 3,500만 개가 새로 채굴됐고, 더 넥스트 웹은 당시 환산액을 170만 달러 이상으로 전했다. 레딧 이용자 R_Sholes는 4월 하드 포크 뒤에도 취약점이 제거되지 않았다고 이미 지적한 바 있었다.

버지는 이번에도 공격을 인정하지 않고 "일부 채굴 풀이 디도스 공격을 받아 블록이 지연되고 있다"고 해명했다. 두 차례 공격은 여러 알고리즘을 섞는 설계가 오히려 새로운 허점이 될 수 있고, 하드 포크로 블록을 되돌리는 것만으로는 근본 원인을 고치지 못한다는 사례로 자주 언급된다.

4.연표2건

1. 2018.04사건4월4일 버지 1차 타임스탬프 공격, 개발팀 하드 포크로 대응
2. 2018.05사건5월22일 같은 허점으로 2차 공격, XVG 약 3,500만 개 채굴