Aave, 플래시 론 청산 기능 그대로 유지… V3.8 보안 업데이트

Aave 프로토콜이 제안된 V3.8 보안 업데이트를 통해 플래시 론(Flash Loan) 관련 청산 기능을 유지할 것이라고 밝혔습니다. 이는 10월 23일 발표된 공식 성명에서 나온 내용으로, 새로운 재진입(reentrancy) 방지 기능이 기존 통합 시스템과 어떻게 상호 작용할지에 대한 의문을 해소했습니다.

간단히 말해, Aave의 V3.8 제안은 플래시 론의 진입 지점을 제외합니다. 이는 거버넌스 승인 및 보안 감사 이후 최종 확정될 예정입니다.

지난 10월 21일 공개된 제안은 풀(Pool) 작업에 대한 새로운 가드를 추가합니다. 이러한 가드는 외부 콜백(callback)이 보호된 계약 함수에 이전에 호출이 완료되기 전에 다시 진입하는 능력을 제한하는 역할을 합니다. Aave 랩스는 플래시 론 및 플래시 론 심플(flashLoan() 및 flashLoanSimple()) 함수는 이러한 가드에서 제외될 것이라고 밝혔습니다. 이를 통해 해당 함수들의 콜백이 청산을 포함한 풀(Pool) 작업들을 계속해서 호출할 수 있게 됩니다.

**콜백의 중요성**

스마트 계약이 플래시 론을 수신하면, 빌린 자산으로 무언가를 할 수 있는 시간을 거래(transaction) 내에서 확보해야 합니다. Aave의 개발자 가이드에 따르면, 풀은 자산을 전송하고, 수신자 계약을 호출한 후, 정산 조건을 확인하는 일련의 과정을 거칩니다.

단순 플래시 론의 경우, 수신자는 빌린 금액에 요구되는 수수료를 더한 금액을 상환을 위해 즉시 가용하게 만들어야 합니다. 만약 거래가 이러한 조건을 충족하지 못하면, 거래는 되돌려집니다(revert). 더 넓은 범위의 플래시 론 인터페이스는 여러 자산을 포함할 수 있으며, 허용된 조건 하에서는 담보 기반의 부채 포지션을 개설할 수도 있습니다.

이러한 메커니즘은 가드의 범위가 왜 중요한지를 설명합니다. 청산 통합 시스템은 자산을 빌리고, 건강하지 못한 포지션을 상환하며, 정산 전에 거래의 나머지 부분을 완료해야 할 필요가 있을 수 있습니다. 모든 후속적인 풀(Pool) 상호 작용을 무차별적으로 차단하는 것은 이러한 일련의 과정을 방해할 수 있습니다.

핵심적인 설계 질문은 프로토콜로 다시 돌아오는 경로 중 어떤 것이 의도적인가 하는 것입니다. 유용한 보안 경계는 통합 시스템이 의존하는 거래 패턴을 설명해야 하며, 여기에는 자산이 풀에서 나간 후에도 상환이 확인되기 전에 발생하는 호출들도 포함됩니다.

**거래 길이 동안의 잠금(Transaction-Length Lock)**

제안된 구현은 이더리움의 EIP-1153을 통해 도입된 일시적 저장소(transient storage)를 사용합니다. 이 저장소는 거래 중에만 사용 가능하며, 거래가 종료되면 폐기됩니다. 따라서 보호된 작업이 이미 실행 중인지 추적하는 임시 잠금 상태를 전달하는 데 사용될 수 있습니다.

이 명세는 재진입 잠금(reentrancy locks)을 사용 사례로 식별하고, 일시적 저장소가 임시 상태를 영구 저장소에 기록하는 것보다 비용이 적게 드는 이유를 설명합니다. 매우 활발하게 사용되는 DeFi 프로토콜의 경우, 설계 질문에는 가드가 추가하는 보호뿐만 아니라 일반 거래에 부과되는 비용도 포함됩니다.

Aave가 제안한 경로는 피드백, 스냅샷 투표, 보안 검토 및 온체인 개선 제안을 포함합니다. Certora와 추가 검토자들은 최종 단계 이전에 변경 사항을 평가할 것으로 예상됩니다.

이더리움 및 기타 영향을 받는 네트워크의 통합 시스템(integrators)에 대한 이번 명확화는 특히 플래시 론을 활용하는 시스템에 안정적인 운영 환경을 제공할 것으로 보입니다. Aave는 프로토콜의 보안을 강화하면서도 핵심 기능의 무결성을 유지하려는 노력을 보여주고 있으며, 이는 DeFi 생태계 전반에 긍정적인 영향을 미칠 수 있습니다. 이번 업데이트는 Aave 커뮤니티의 의견 수렴과 투명한 개발 과정을 거쳐 최종 확정될 예정입니다.