솔라나, 알펜글로우 버그 현상금 0.5 SOL 청구…보안 연구원들 '씁쓸'

솔라나(Solana) 블록체인 네트워크의 새로운 합의 알고리즘인 '알펜글로우(Alpenglow)'의 보안 취약점을 찾는 현상금 사냥에 참여하는 연구원들에게 보고서당 0.5 SOL(약 4만 8천원)의 수수료가 부과되어 논란이 일고 있다.

현지시간 13일 코인데스크 보도에 따르면, 솔라나 생태계의 버그 바운티 플랫폼인 안자(Anza)는 알펜글로우의 취약점을 보고하는 연구원들에게 신고서 제출 전 0.5 SOL을 소각하도록 하는 규정을 도입했다. 이는 연구원들이 취약점의 유효성, 심각성, 중복 여부 등이 결정되기 전에 비용을 먼저 부담해야 함을 의미한다. 이번 알펜글로우 버그 헌트 대회는 오는 8월 19일 16시(UTC 기준)에 마감될 예정이다.

안자는 연구원들이 제출하는 모든 신고가 지정된 포털을 통해서만 접수되며, 이때 발생하는 수수료는 소각되고 하나의 비공개 GitHub 보안 권고(Security Advisory)가 생성된다고 밝혔다. 다른 채널을 통해 접수된 보고서는 인정되지 않는다.

이번 현상금 사냥의 대상은 솔라나 네트워크의 근간을 이루는 합의 프로토콜이다. SIMD-0326 제안에 따라 알펜글로우는 현재의 '포인트 오브 히스토리(Proof-of-History, PoH)' 및 '타워 BFT(TowerBFT)' 합의 방식을 대체하는 비호환적인(backwards-incompatible) 업그레이드다. 안자는 이 새로운 합의 구성 요소, 검증자(validator) 통합, 그리고 마이그레이션 경로 등을 이번 버그 바운티의 범위에 포함시켰다.

연구원들은 자신이 발견한 취약점이 타당성을 인정받고, 그 심각성이 평가되며, 다른 신고와 중복되지 않는지, 그리고 최종적으로 얼마의 보상을 받게 될지가 결정되기 전에 0.5 SOL의 수수료를 지불해야 한다. 더구나 연구원들은 '아가베 마스터(Agave master)'의 변경되는 버전에 맞춰 경쟁해야 한다. 각 보고서는 해당 취약점이 발견된 커밋(commit)을 명확히 식별하고, 해당 커밋에서 문제를 재현해야 하며, 취약점이 '마스터' 브랜치에서 수정되기 전에 제출되어야 한다.

이러한 '개념 증명(Proof-of-Concept, PoC)' 요구사항과 신고 수수료는 단순히 가능성만 제시하는 미완성 보고서의 제출을 줄일 수 있다는 긍정적인 측면도 있다. 그러나 취약점의 영향이나 우선순위가 불확실한 경우, 유효한 발견이라 할지라도 높은 신고 비용으로 인해 제출 자체가 어려워질 수 있다는 우려도 제기된다. 공개된 규정에는 참여도나 보고서 품질을 평가하여 이러한 상충 관계를 해결할 수 있는 구체적인 기준이 명시되어 있지 않아, 연구원들의 부담이 가중될 수 있다.

**연구원, 자격 요건 확인 전 비용 지불…새로운 합의 알고리즘 '알펜글로우'의 중요성**

대회 개요에 따르면, 알펜글로우는 개발, 모노레포 마이그레이션, 내부 감사 단계 동안 아가베의 기존 현상금 지급 대상에서 제외되었다. 이번 2주간의 대회는 Votor 투표 엔진, 투표 및 인증 메시지, BLS 서명 및 인증서 검증, TowerBFT 마이그레이션 경로, 그리고 특정 검증자 통합 지점 등 열거된 알펜글로우 코드 세트를 대상으로 한다.

하지만 몇 가지 제약 조건이 여전히 존재한다. 이미 공개되었거나 이전에 보고된 취약점은 대상에서 제외된다. 또한, 알려진 문제, 테스트 코드, 제3자 암호화 라이브러리 의존성, 그리고 단순히 TowerBFT 관련 경로만 포함하는 경우도 제외 대상이다. 연구원들은 메인넷이나 공개 테스트넷에서의 공격 시도가 아닌, 로컬 포크(fork), 다중 노드 허가(multi-node harness) 또는 시뮬레이션을 통해 발견 사항을 입증해야 한다.

우선순위는 단순히 시간 순서가 아닌 증거에 따라 결정된다. 안자가 평가한 심각성 수준에서 개념 증명 요건을 충족하는 가장 빠른 보고서가 해당 근본 원인에 대한 보상을 받게 된다. 나중에 제출된 중복 보고서는 더 높은 심각성이 입증되지 않는 한 보상을 받지 못한다. 만약 수정 패치가 '아가베 마스터'에 적용되면, 해당 보고서의 지급 자격은 소멸된다. 따라서 대회가 진행되는 동안에도 보고서 제출 기회는 사라질 수 있다.

**5만 SOL 현상금 풀, 심각성에 따라 차등 지급…최대 2만 5천 SOL**

이번 버그 바운티의 총 상금 규모는 5만 SOL(약 24억원)로 책정되었으나, 그 지급 방식은 발견된 취약점의 심각성에 따라 달라진다. 안자의 5만 SOL 풀은 보고된 취약점이 '자금 손실(loss-of-funds)'을 야기할 수 있다고 입증될 경우 전부 해제된다. 하지만 개별 연구원에게 지급되는 최대 상금은 25,000 SOL로 제한된다.

이러한 0.5 SOL의 신고 수수료 부과는 솔라나의 보안 강화 노력의 일환으로 해석될 수 있다. 하지만 동시에 소규모 연구원이나 초기 단계의 연구자들에게는 상당한 진입 장벽으로 작용할 수 있다는 지적이 나온다. 특히, 발견한 취약점의 가치가 불확실한 상황에서 선지불해야 하는 수수료는 연구 동기를 저해할 수 있다는 비판이 제기되는 이유다.

솔라나의 알펜글로우는 네트워크의 확장성과 성능을 크게 향상시킬 것으로 기대되는 차세대 합의 알고리즘이다. 따라서 이 알고리즘의 보안은 솔라나 생태계 전체의 신뢰도와 직결된다. 그러나 이러한 중요한 보안 감사 과정에서 연구원들의 참여를 유도하고 공정한 보상을 제공하는 방안에 대한 지속적인 논의가 필요해 보인다.

이번 알펜글로우 버그 헌트의 결과와 연구원들의 반응은 솔라나의 향후 보안 전략과 커뮤니티와의 소통 방식에 중요한 영향을 미칠 것으로 전망된다.