회고를 작성하는 스타일은 아니지만, 남들도 다 작성하는 거 같고, 사실 이 이름을 걸고 이야기를 할 것들이 의외로 많았다는 사실을 깨달아서 끄적끄적 거린다. (무려 2020년이 된 다음에!)

2020년이 되어버렸다. 90년대에 태어나, 뭐 한 것도 없이 2020년도가 되어버렸다. 몇 년만 더 지나면 30대가 되는데, 준비가 되어있는 것도 아니고 복잡한 심경이긴하다. 20대가 되었던 것보다 더 큰 충격으로 다가올 것 같은데 회사를 운영하는 20대라는게 녹록치 않다는 점도 있고, 사회 생활이 예상하는 대로 차근차근이 남들 밟는 스탭대로 가는 것이 아니라 엄청나게 꼬인 형태로 진행 된다는 점에서 상당히 주변 걱정을 많이 받고 있다. 뭐 내 자신이 걱정을 하는 것도 있지만.

사실 월 별로 꼭지를 다루고 싶었는데 생각해보면 회사 이야기만 주구장창 할 거 같고, 분기별로 이야기를 진행해보는게 더 낫지 않나 싶은 것도 있고 해서 글을 줄여서 써볼까 싶다.

1분기

제일 정신 없었던 저주 받았던 시기가 아닌가 싶다. 패스트파이브 생활을 청산하고, 사무실을 이전하기 위한 준비를 하는, 사실 제대로 잠을 잔 적이 없는 시기였던 걸로 기억한다. 비트코인이 2500만원을 찍고 700만원으로 가격이 수직낙하 한 이후 블록체인 업계는 여러모로 지탄을 받았는데, 버블이 꺼진 것일 뿐 기술적으로는 계속 성장하고 있긴 했지만, 외부적으로 컨설팅이나 프로젝트 수주가 들어오는 것들은 그렇게 많은 편이 아니였고, 대부분 가치 평가를 너무 낮게 하였다. 거기다가, 블록체인 솔루션의 시장 보급화가 많이 된 시점에서 투자나 신규 컨설팅이나 외주를 받아도 그렇게 돈을 많이 벌지는 못했다. 가지고 있던 자금을 태우면서 버티는 시점이었고, 인력 재배치와 회사 시스템 재개편으로 시간을 제일 많이 쏟았던 것 같다.

일종의 회사에 대한 시험대였던 것으로 기억을 하는데, 이 시기는 외부적으로 좀 더 활동하고 사람들을 더 만났으면 괜찮지 않았을까 싶은 부분들이 있다. 1~3월달에는 무중력 의자에서 잠을 자고, 패스트파이브 에서 맨날 배달 음식 시켜먹고, 근처에 있는 사우나에서 씼고 그런 것들의 반복이었다. 거래소 관련 프로젝트나, 메인넷 관련된 프로젝트들을 집어먹고 데이는 경우가 많았는데, 뭐 지금 와서는 기술력에 대한 시험대였기도 하고, 관련 정보들을 남들보다 빠르게 얻을 수 있었던 기회였기도 했다. 사실 1~2 분기에 삽질한게 없었으면 3~4 분기에 무엇을 해야할 지, 무엇을 할 수 있을지에 대해서 그렇게 큰 생각을 해보지 못했을 거라고 생각한다.

여튼, 컨설팅을 하고 프로젝트 운용을 하고 각종 관련된 일들을 미친듯이 흡수해왔던 것 같다. 많은 1~2년차 자금 없는 스타트업이 그러하듯이, 위시켓이나 프리모아, 크몽 같은 것들을 이용하여 자금을 땡겨오고, 각종 프로젝트들을 찾아내는 경우가 많은데, 우리도 그런식으로 블록체인 관련된 프로젝트들을 검색하고 찾아내는 경우들도 있었고, 블록체인이 아닌 임베디드나 일반적인 웹 개발을 하는 경우도 있었다. 뭐 그 때 했었던 일들이 하나 같이 좋은 경험이라고 할 수 있었던 건 아니고, 솔직히 말해서 SI의 밑바닥을 한 번 훑고 지나간다는 느낌으로 프로젝트들이 운영된 감이 적잖이 있다. 경영학을 부전공으로 꽤 많은 시간을 경영학에 시간을 쏟았지만, 실제로 오퍼레이션 관리나 프로젝트 일정 관리, 회계 파트는 솔직히 말해서 지금 와서도 못 해 먹겠는 대표적인 부분 중 하나이다. 사실 대표가 회계를 제대로 못하면 회사가 제대로 돌아가지를 못하는데, 아직도 이런 부분에 대해서 아웃소싱을 주거나 팀원에게 맡기는 부분이 있어서 좀 문제가 된다는 생각을 하고 있다.

전략 회계나 관리 회계, 재무 회계는 기본적으로 해야지 회사 운영이 된다는 점을 다시 배웠고, 솔직히 한 치 앞도 안 보이는 상황에서 돈 긁어온다는게 말처럼 쉬운 일도 아니라는 걸 제대로 배운 시점이기도 하다. 이러한 문제는 역시 블록체인 겨울이라는 것과 겹치면서 생긴 문제인데, 매번 들어오는 질문은 이것이었다. "블록체인을 계속 할 것인가? 그렇다면 돈이 들어와야하는데 그 누구도 블록체인을 안 하려고 하는데? 그냥 IT 기업 되는게 어때?" 라는 속삭임과 팀원들의 불만이 제일 많이 들려왔던 부분이기도 하다. 그리고, 아직도 순수 블록체인 기업이라고 하기에는 애매한 위치에서 일을 하는 이유이기도하고.

2분기

기술보증을 땡기는데 성공을 하였다. 사실 별다른 생각이 없이 한 것도 있지만, 일단 자금 해결과 안정화를 위해서는 기술보증이나 청년창업사관학교와 같은 정부 지원이 제일 우선적으로 필요한 상황이었고, 그 중 상시 지원이 가능한 기술 보증을 준비를 하였고 성공적으로 기술 보증을 따내는데 성공하였다. 일단 회사 재정 상황 개선이 성공적으로 되자 -사실 반만 성공했다- 바로 했던 일은 회사의 이사였다.

뭐 VC들의 평가 지표 중 하나가 공용 창업 공간 (e.g. 위워크, 패스트파이브)를 사용여부라는데, 자금을 어떻게 사용하고 있는가에 대한 질문이기도 한 편이다. 두 당 최소 40만원에서 7~80만원 정도의 자릿세를 요구하는 공유 오피스의 경우 일반적으로 SI나 스타트업에게는 상당히 큰 자금부담으로 다가온다. 위워크나 패스트파이브가 가져다주는 장점 (보안, 인터넷, 복합기, 청소, 냉장고, 기타 등등...) 들을 버리기는 아까운 면이 있겠지만 실제로 이러한 것들은 회사가 커지면, 그냥 기업용 인터넷 신청하고, 냉장고/복합기/정수기는 렌탈 하면 되고, 청소는 돌아가면서 해야하고... KT 텔레캅 갖다 박고, 이런식으로 해결을 하면 어느정도 해결이 된다. 지금 와서 봤을 때 현명한 판단이었다고 생각하는데, 이 이주 계획을 내고 도움을 주신 팀원 분들에게 감사하다.

여튼, 이 시기는 이사가 제일 큰 꼭지였던 거 같고, 각종 프로젝트들이 마무리 되면서 자금 상황이 호전 되는 경험을 했던 최초의 시기이기도 했다. 몇몇 외주 시스템이나 대외적 연락망 재구축이라는 부분을 시도한 시기였다. 사실 위X켓 주요 고객이 되었기도 한다. 블록체인 관련된 프로젝트 중에서 여러 군데 컨택하다가 싹 다 리젝 먹거나 도저히 못 하겠다고 하는 프로젝트들이 오는데가 위시X아니겠는가. (딴 프로젝트는 그렇지는 않은 경우도 많다. 블록체인 프로젝트들이 워낙 까다로은 편이라서 그렇다.) 일단 이런저런 프로젝트들을 진행하면서 많은 것들을 배웠는데, 프로젝트의 성공 여부는 둘째치고, 그렇게 내가 뭘 잘 하거나 안정적으로 하는 사람이 아니라는 걸 다시 배웠다. 프론트엔드 부분을 많이 무시하고 공부를 안 했고, 꽤 오랫동안 학술적인 프로그래밍만 해 왔던 내가 실제로 얼마나 쓸모 없었는가에 대한 생각을 갖게 해주기도 하였다. 실제로 뭘 한다고 해도, 그렇게 잘 하는 것도 아니고, 경영하면서 프로그래밍할 시간도 없고, 긴급히 시스템을 구축하고 개선하는데 투입이 되어도 생산성 이슈나 코드 퀄리티 이슈를 계속 지적 받으면서, 역시 협업 안되는 인간은 답이 안나온다는 거을 배웠던 시기이기도 하고.

만약, 학교로 다시 되돌아갈 수 있었다면, 기초나 관련 프로젝트 경험을 더 쌓고 공부를 하지 않을까 싶다. 사실 수학(그 중에서는 해석학이나 카테고리 이론 쪽)이나 게임이론 쪽 공부를 좀 더 심도있게 하고, 그걸 베이스로 응용학문을 더 많이 공부해야하지 않나 싶다는 생각을 엄청 했었던 때이기도 하다. 근데, 지금 와서 보니까 학교 돌아갈 수 있을까 ㅠㅠ

3분기

컨설팅, 솔루션 개발, 그리고 엑셀레이터 만남이 핵심일 것이다.

6개월 정도 갈 줄 알았던 기술 보증기금 비용이 의외로 빨리 소진되서 매출과 회전률에 대해서 상당히 큰 고심을 했던 시기이기도 하다. 사실 1분기나 기술 보증을 받고 바로 생각을 했어야했었는데, 여름 휴가 건도 있었고, 잠시 자금 안정화가 되었다는 점을 간과해서 문제가 발생한 케이스였다고 본다. 뇌에서 생각만 하던 것들이 펑펑 터지니, 일단 기록이 얼마나 중요한지, 매출이 나온다고 해도 잔금 회수나 자금 회전을 생각을 제대로 못하면 터진다는 걸 몸소 배운 시기도 하다. 10명 정도의 사람들이 있는 회사를 운영한다는 것, 그리고 그에 따른 리스크는 의외로 크다는 점이 문제라면 문제일 것이다. 사실 이 때, 그래도 허리는 피고 꽂꽂하게 버터야한다는 생각을 갖고 있었는데, 이 때 솔직히 많이 힘들었었다.

다행히도, 블록크래프터스라는 좋은 파트너이자 스승을 만날 수 있었다. 실제로 문화적인 부분에서 많은 공통점을 갖고 있기도 했고, 블록체인 전문 엑셀레이터라는 부분에 있어서는 상당히 도움이 되었다는 걸 부정할 수 없다. 블록체인 전문 엑셀레이터 그룹은 찾기도 힘들 뿐만 아니라, 이런 그룹 내에서 동일 기수(챌린지 X)로 같이 묶여서 블록체인 관련된 일에 대해서 공유 받고 같이 일을 할 수 있는 점은 정말 크나큰 시너지 효과를 낼 수 있다는 점에서 정말 대단한 일이다.

그리고, 사실상 회사가 컨설팅이나 턴키 개발로 방향을 틀면서, 다양한 인연을 만날 수 있었다. 회사는 안정기로 들어섰고, 이런 저런 실험들을 할 수 있는 기회들이 주어졌는데, ACHER 관련 개발도 그렇고, DID와 기존의 불편한 블록체인 시스템에 대한 개선 및 안정화를 할 수 있는 기회를 갖게 되었다. 거래소 솔루션을 확장하여 개인 지갑으로 바꾸고, 메인넷 자문 해주고, 별의별 일들을 다 겪은 시기이기도 하다 :)

추가 꼭지 - devcon5 (10.8 ~ 10.11)

데브콘에 갔다 왔다. 사실 이더리움 한다는 인간이 devcon이라는 존재도 잘 모르고, 이거 관련되서 갈 생각도 못했던 것을 블록크래프터스 도움으로 티켓도 얻고 일본 오사카 (devcon4는 터키였을 것이다) 의 데브콘에 참여해서 이것저것 들었다. 뭐 팀원 2분이랑 같이 갔었는데, 사실 제일 많이 공부했던건 나 아니였나는 이야기를 제일 많이 듣는다. 뭐 그러하다고 휴가 같은 느낌을 아니였는데, 실제로 오전 9시부터 (좀 러프하면 11시부터) 3~5시까지 지속적으로 세션이 열리고 관련 이야기를 듣는 것이 상당히 재미있었다.

데브콘을 갔다오면서 느낀 점은 3가지로 요약될 수 있다.

1. 생각보다 해외의 블록체인 발전 속도가 그렇게 빠르지 않다. Formal Verificaion이나 정적 분석, 언어 개발 관련되서는 실제로 학계에서 이미 몇 년 전, 심지어 몇 십 년전에 논의되었던 부분들이 지금 이 업계에서 화두가 된다. 일반적으로 언어론/컴파일러, 분산 시스템, 게임이론 정도에서 연구되왔던 것들을 다시 가져와서 적용해도 될 정도로 아직 미약하다는 점이다.
2. 국내 기업 중에서 제대로 블록체인을 한다는 기업이 의외로 적다. 많은 부분에 있어서, 사상 전파, 오픈소스 기여, 프로토콜 개발 세 개를 다 하는 기업은 적은 편이고, 이 조차도 부실하다는 부분을 계속 상기 시킬 수 있었다
3. 블록체인 겨울이라고 하지만, 봄은 언젠간 올 것이라는 생각을 할 수 있었다. 데브콘의 분위기는 환상적이였다. 행사 관리가 이렇게 개판일 수 있...다는 것도 신기했지만, 이게 딱 해커들 모여서 노는 개발자 컨퍼런스 느낌이기도 하고, 뭐 심심하면 강의실 대여하고 화이트보드 끌고와서 자기 생각을 그리고 쓰고 설명하는 그런 경험은 솔직히 사기 진작에 엄청 도움이 되었다. 그래도 내가 제대로 뭘 하고 있구나라는 걸 깨닫게 해줬으니...

태풍이 와서 비행기 표가 싹다 취소되는 경험을 했었는데, 그 시간을 빌어 덴덴타운도 갔다오고, 뭐 이것저것 일본 구경도 할 수 있었다. 오랜만에 가보는 일본, 특히 오사카는 역시 뭔가 다르긴 하다는 느낌 아닌 느낌도 들었고. 뭐 좋은 경험이었다.

4분기

블록크래프터스의 엑셀레이팅 덕분에 일단 앞으로 나아가는데에는 그렇게 큰 문제는 없게 되었다고 본다. 사실, 각종 세미나나 발표를 하면서 점점 다양한 사람들을 만나는 계기가 되었다고 하면 하겠다. 사실 회사에 있는 시간보다 밖에서 싸돌아다니는 시간이 좀 늘어나고 좀 멀리서 볼 수 있는 시기가 되었다.

번역 작업을 시작해서 솔리디티 문서와 Vyper(바이퍼?) 관련 문서를 번역하고 있고, W3C DID Spec 관련해서는 팀으로 번역을 시작하였다. 번역을 하면서 스마트컨트랙트 관련된 OP Code관련된 부분만 아니라, 각종 세부적인 문제들을 우연치 않게 배울 수 있었다. 실제로 fallback function 관련된 부분의 문서 번역이나 deposit contract 관련 분석의 경우 DID 관련된 시스템을 개선하는데 꽤 많은 도움을 주었다. 일단 데브콘에서 배운 것을 계속 상기시키면서, 사상 전파와 오픈소스 기여 쪽으로 일단 방향을 잡기로 한 부분이다.

또 다른 대외적인 성과는, 역시 이더리움 밋업에서 Deposit Contract 관련된 발표를 한 것이다. 발표가 갑자기 잡힌 것도 있고, 발표 관련되서 주제를 생각하다가 Ethereum 2.0 Deposit Contract 관련된 부분이 상당히 우리 쪽 아이디어 (ACHER)와 비슷한 부분도 있어서 발표를 하게 되었다. 비탈릭 부테린이 왔던, 그리고 발표하였던 발표였기도 하고 (중간에 급한 일 있다고 나갔는데, 그냥 재미없어서 나간게 아닐까 싶다 ㅠㅠ) 여러모로 시선을 끌기에는 좋았던 발표 아니였나 싶다.

그리고 뭐 이더리움 밋업과 각종 발표, 대외 활동을 통해서 이런 저런 사람들을 만날 기회를 받았다. 블록체인 관련 미팅들에 초대 받아서 발표를 하거나 담소를 나눌 수 있는 기회를 얻기도 하였고, 자체적인 제품을 시연하거나 DID 관련된 이야기를 주로 할 수 있어서 정말 재미를 느낄 수 있었다.

추가적으로 한양 스타트업 아카데미를 수료하였다. 스타트업을 하기 위해, 투자를 받기 위해, 운영과 아이디어를 만드는 법을 배우고 각종 관련 강의를 들을 수 있었던 좋은 경험이었다. 사실 대부분 1~2년차 기업이 겪을 수 있는 부분을 지적해주는 자리라서 알던 내용을 다시 배우거나, 곱씹을 수 있었던 기회이기도 하였는데, 그 중 하나가 기술 보증이였다.

기술 보증을 너무 일찍 받은 건에 대해서 후회하는 시점이기도 하다. 회사 규모가 커지고 안정적인 솔루션이 나온 시점에서 기술보증을 받아야지 회사 확장이 가능한데, 회사 확장보다 안정화를 목적으로 기술 보증을 받아서, 보증 금액이 작게 나왔고, 확장을 위한 한 방을 하지 못한 부분에 대해서 엄청 후회를 하지만, Pre-A나 A로 이동하면서 이 부분은 해결 될 부분이라고 보고 있다. 결국 결과물로 싸우는 것이고, 기술 보증은 보증일 뿐이다. 기업의 밸류에이션이 기업을 평가하는 척도 아닌가.

덧) ACHER는 아직도 개발 중이다 ㅠㅠ

2020년은

주사위는 던져졌고, 해야할 일들을 정리하는 것들이 대부분인 거 같다. 솔직히 내 몸이 3개였으면 하는 농담을 자주하는 편인데, 옆 자리 친구는 타티스가 필요하다고 한다. 여튼, 주어진 시간에 비해서 할 일은 엄청 많아진 건 사실이다. 자동화나 스크립트 짜 놓은 걸로 땜빵을 하고 있지만, 실제로 이런 시스템을 고도화하고 안정화하는 일은 또 다른 일이라고 보고 있다.

3가지 정도의 일이 핵심으로 돌아가고 있고, 그 중 2가지 일을 내가 맡고 있는 상황이다.

국공기관에서 블록체인 수요를 맞추는 일, 그리고 블록체인이라는 걸 느끼지 않게 하면서도 블록체인이라고 느끼게 하는 것은 UI/UX적으로 엄청 힘든 일이라는 걸 배우고, 프로그래머로써의 오효근보다 기획자나 PM으로써의 오효근을 좀 더 많이 찾는 듯하다.

트랜젝션 분석과 이더리움 네트워크의 안정적인 확장에 대해서 고심을 많이 하고 있다. 특히 스마트컨트랙트 언어는 솔리디티와 Vyper가 양분하는 시점이 왔는데, Vyper가 갖고 있는 문제는 너무 명료하다는 것도 문제이고, 솔리디티의 상속이나 스마트컨트랙트 간의 콜에 대한 미숙한 처리에 대해서 많이 고민 중이다. 이를 파싱하는 것도 문제이고, 안정적으로 모듈화 해서 확장 할 수 있는 시스템 만드는 것도 문제다. Erlang의 특징을 좀 빌어오면 안될까라는 생각을 자주 하고 있다. :P

ACHER는 내 손을 약간 떠난 듯한 느낌이다. 기획이나 코어 개발은 거의 끝났고, 이제 앱과 브라우저 확장 프로그램이 나올 차례이다. 메타마스크를 죽일 수는 없겠지만, DID와 자산 관리에 있어서는 분명히 스마트컨트랙트 기반으로 관리를 하는 것이 더 나을거라고 보고 있고, 이에 기반하여 커뮤니티에 파란을 한 번 일으키는 것이 목표이다.

그리고 투자... 투자가.... 필요하다....

업비트가 털렸다. 뭐 그건 중요한 건 아니고, 아니 뭐 ISMS 인증 받고 철통 보안이라던데가 털렸고, 그것도 핫 월렛 하나가 통째로 날라갔으니 얼척이 없다고 하는게 더 낫겠지만, 어쨌든 정말로 흥분되는 일이긴 하다. 남의 초상집 앞에서 흥분된다고 하기에는 좀 그렇지만, 이 해킹에 있어서 재미있는 흔적들이 너무나도 많이 남았기 때문에 이 이야기를 하다보면 흥분이 될 수 밖에 없기 때문일 것이다.

342,000 이더라는 사상 초유의 이더리움 해킹 사태는 둘째치고, 업비트 해킹 트랜젝션을 분석하면 재미있는 사실들을 많이 알 수 있다. 이는 내부자의 치밀한 소행이거나, 외부에서 각을 재고 있었다가 공격을 들어온 케이스라고 생각이 되는 부분인데, 이를 하나씩 풀어가면서 이야기를 해보도록 하자.

다음은 문제의 그 이더리움 트랜젝션이다. (이더스캔)

$ curl -H "Content-Type: application/json" --data "{\"jsonrpc\":\"2.0\",\"method\":\"eth_getTransactionByHash\",\"params\":[\"0xca4e0aa223e3190ab477efb25617eff3a42af7bdb29cdb7dc9e7935ea88626b4\"],\"id\":67}" http://localhost:8645 | jq

{
  "jsonrpc": "2.0",
  "result": {
    "blockHash": "0xd7b9bc7995cefc295fd62fd09ebccf978ed935d0e7ebe5fdf70e1e2ce793bd9f",
    "blockNumber": "0x8972f7",
    "chainId": "0x1",
    "condition": null,
    "creates": null,
    "from": "0x5e032243d507c743b061ef021e2ec7fcc6d3ab89",
    "gas": "0x30d40",
    "gasPrice": "0xe8d4a51000",
    "hash": "0xca4e0aa223e3190ab477efb25617eff3a42af7bdb29cdb7dc9e7935ea88626b4",
    "input": "0x00",
    "nonce": "0x8f7b4",
    "publicKey": "0x58ed29a99e06f14a5b7dc33a3d670f3274dfa7ebe891c20e3b8df2aa5d1de12676a3a8ca747d703db52126197a743535640450bb1b89c68a3848129fe5751ac3",
    "r": "0x551f02b088b2f8d99522c5411ff44926ca73f0bac7413db6a81aebfc32844bce",
    "raw": "0xf8728308f7b485e8d4a5100083030d4094a09871aeadf4994ca12f5c0b6056bbd1d343c0298a486bdb6e265769c000000025a0551f02b088b2f8d99522c5411ff44926ca73f0bac7413db6a81aebfc32844bcea01aaad47971f4a96c40645072604f7268500e1ed046dac9742482d904471ad176",
    "s": "0x1aaad47971f4a96c40645072604f7268500e1ed046dac9742482d904471ad176",
    "standardV": "0x0",
    "to": "0xa09871aeadf4994ca12f5c0b6056bbd1d343c029",
    "transactionIndex": "0x0",
    "v": "0x25",
    "value": "0x486bdb6e265769c00000"
  },
  "id": 67
}

1. tx nonce가 상당히 의미 심장하다. (587700 번)

실제로 내부자가 핫 월렛에 접속을 하여 바로 트랜젝션을 땡겼다는 가정을 한다면, 0이 2개씩이나 포함되는 딱 떨어지는 이쁜 숫자가 나오기는 힘들다. nonce는 외부 출금이 한 번씩 일어날 때마다 증가하는 숫자인데, 공격자가 587700번째(정확히는 587701번째, 프로그래머는 0부터 센다)에 의도적으로 인출을 할 생각을 할 것인가? 미묘하다.

2. Gas Limit를 임의적으로 주었다.

일반적으로 Account간 이더리움을 전송하는 트랜젝션에 소요되는 Gas비는 21,000 정도이다. 이에 따라서 업비트는 45,000 정도를 Gas Limit을 걸어놓고 쓰고 있는데, 공격자는 200,000으로 Gas Limit을 잡았다. 일반적으로 이더리움 핫 월렛에서 직접 조작을 하거나, 트랜젝션을 생성하는 전용 서버가 털렸을 경우에는 200,000이라는 값이 나오기는 힘들 것이다. 실제로 이 때문에, 내부적으로 툴이나 스크립트를 돌려서 공격을 했다는 심증을 갖게 해준다.

3. Data 필드에 실수인지 고의인지 데이터를 넣었다

0x00 라는 데이터를 넣었는데, 일반적으로 Data는 트랜젝션을 통해서 스마트컨트랙트의 함수 콜을 위해서 사용하는 란으로, 일반적인 계정간 이동에서는 사용되지 않는 란이다. 보통, 일반적인 트랜젝션에 Data에 값을 넣는다면 ASCII로 데이터를 넣어서 블록체인 상에 텍스트를 기록하는데 사용을 하는데, 이것도 아닌 0x00라는 미묘한 값이 들어갔다.

트랜젝션을 생성하면서, 공격자가 실수로 0x00라는 값을 넣었을 가능성이 있다. 초보적인 실수로 생각을 하고 있는데, 4/5번과 같이 보면 의도적일 가능성도 충분히 존재한다.

4. Gas Price가 상당히 높다.

일반적으로 이더리움에서는 10 Gwei 정도의 Gas Price를 넣어도 1분 내에 트랜젝션이 처리된다. (5~7 Gwei 정도여도 무방하다. Ethergas station을 참고하자) 그런데 Gas Price를 무려 1,000 Gwei, 통상 업비트의 60 Gwei의 15배 이상을 넣었다. (Gas Price는 우편/당일특송/퀵 이런 느낌으로 생각하면 편하다. 가격이 높을수록 빨리 전송이 일어난다. 당연히 블록 생성 속도보다는 빠를 수 없다.)

단순하게 생각한다면, 쓸데없이 값을 높게 책정을 했다는 것이고, 좀 생각을 하자면, 그만큼 급했다는 것을 알 수 있다. 아니면, 다른 의도를 갖고 있거나.

5. 왜 342,000 이더인가?

실제로 4,200 이더 정도를 더 가져갈 수 있었음에도 불구하고 공격자는 한 번에 342,000 이더만 빼갔다. 뭐 이미 90% 이상의 금액을 빼갔으니 별 문제는 없다고 생각을 하겠지만, 그 당시에 핫월렛에 직접 접근이 가능했다면 바로 전액을 자기가 원하는 주소로 전송을 했을텐데 그렇지 않았다는 점이다. 4,200이더면, 8억원 정도 되는 금액인데 알뜰살뜰 하게(?) 그 금액까지 빼 내가지 않았다는 점이 수상하다.

예상 되는 시나리오

1/2/3/4/5를 같이 본다면, 실제로 뭔가 미묘하게 이상하다. 통상적인 절차라면 해커는 핫 월렛 노드까지 접근을 한 뒤 바로 최대 금액을 자기 자신의 지갑으로 땡겨서 넣는 것이 상당히 정석적인 방법이었으리라고 본다. 하지만, 그렇지 않았다는 점은 핫 월렛에 직접적으로 접근해서 공격한 것이 아니라, 뭔가 시스템을 타고 타고 들어가서 PK를 빼냈거나, APT로 노드에 접근을 한 뒤 노드와 통신을 JSON-RPC로 트랜젝션을 삽입 했던게 아닌가 싶다. 그 와중에 쉘 스크립트나 공격용 코드를 사용했으리라 생각을 하는데, 그 이유는 1. nonce 값이 작위적이고 (코드로 짰고) 2. Gas Limit의 경우 만일을 대비해서 높게 책정했고 3. Data 필드에 실수로 0x00을 넣었고 4. Gas Price도 1,000 Gwei를 하드코딩했을 가능성이 크다. (Gas Price는 변동이 있을 수 있으니 그냥 1000을 박아넣었던 것) 최종적으로, 일주일이나 한 달 동안 잔고 평균을 내서 이 정도면 괜찮으리라 생각한 342,000 이더만 빼갔을 것이라는 것이다.

바로 핫 월렛에서 붙어서 공격을 한게 아니라, 직접 접근이 불가능한 상태에서 추측만으로 공격용 툴이 타고 타고 가능성이 제일 높다고 본다.

공격자의 운빨? 아님 의도?

거기서 운이 좋은 건지, 나쁜건지는 모르겠지만, 공격자는 트랜젝션이 덮어씌워질 수 있다는 것을 충분히 알고 있었던 것으로 보인다. data 값의 0x00은 무의미한 값이고, Gas Price의 1000 Gwei는 너무 높은 값이지만, 트랜젝션을 덮어 씌울 수 있다는 점을 안다면 이것은 상당히 노리고 뭔가를 했다는 점일 것이다.

실제로 트랜젝션을 취소 할 수는 없지만 덮어 씌우는 것은 가능하다는 것 은 꽤 오래전부터 알려져있는 사실이다. Metamask에서도 시험적으로 도입을 하였는데, 원리는 간단하다.

이더리움 트랜젝션의 nonce 값은 전송을 할 때마다 하나씩 늘어난다. 그러니 1번째 전송, 2번째 전송, 3번째 전송... 이런식으로 값이 늘어나는데, 이 경우 이더리움 트랜젝션 내에 nonce 필드 값이 변하게 되는 것이다. 이 때, nonce 2의 값을 갖는 트랜젝션을 새로 생성해 전송 시키면 트랜젝션을 페일이 난다. 그렇다면, nonce 4의 값을 갖는 다른 종류의 트랜젝션을 2개 생성해서 노드에 쏘면 어떻게 될까?

일반적으로, 이것을 이중 지불 공격이라고 한다. 다행히도 블록체인에서는 이것을 해결을 다음과 같이 한다. 두 사람에게 각각 이더를 보내는 다른 트랜젝션을 만들게 되면, 노드들은 그 트랜젝션 둘 중 하나를 선택하게 된다. 일반적으로, 채굴자 노드들은 (가성비가 높은) 수수료(Fee)가 높은 것을 택하는 습관이 있다. Gas Price * Gas used 값이 높은 것을 택하는 건데, 간단히 설명하면 500원짜리 우표보다 3500원짜리 등기가 더 선택된다는 것이다. 즉 상반되는 두 트랜젝션이 생성되더라도, 둘 중 하나를 택하는 것을 어느정도 예측 가능하고, 이를 통해서 블록체인이 운영된다는 것이다. 그리고 이를 통해서, Gas Price가 더 높은 트랜젝션을 같은 nonce로 발행을 하면 이를 덮어 씌워서 이전 트랜젝션을 취소 시킬 수 있는 것이다.

그렇기에 1000 Gwei짜리 트랜젝션을 만들어낸 것은, 트랜젝션이 덮어 씌워짐을 막기 위함이라는 것을 유추할 수 있다. 빠르게 전송을 시킬려면 100 Gwei 만 줬어도 별 문제가 없었을 텐데, 이렇게 1000 Gwei를 준 것은 의도적이었다는 것이다.

또한 Data 필드에 0x00도 동일하게 해석할 수 있다. 트랜젝션의 사이즈를 늘려서, 트랜젝션이 덮어 씌우는 트랜젝션 대신에 선택 되도록 하는 꼼수였을 가능성이 크다. 0x00을 통해서 21,00__4__ 의 가스량이 소모가 되었고, +4 덕분에 21,000 짜리 트랜젝션보다 더 선택이 될 가능성이 높은 것이다. (뭐 엄밀히 말하자면, 이것은 옳은 설명은 아니다. 택배처럼 무게랑 부피랑 가격 3가지 요소가 영향을 미치듯이, 트랜젝션도 이 외의 영향을 주는 요소가 많다.)

즉, 이 트랙젝션 하나하나에는 모두 공격자가 빠르고 안전하고 실수 없이 외부로 적절한 금액의 이더를 반출하려는 노력이 담겨 있다는 것이다.

그래서?

이렇다면, 서버 어딘가에 이 특이한 모양의 트랜젝션을 생성한 흔적이 있을 것이다. 아마도. 특히 JSON-RPC 콜에 대한 로깅을 하고 있다면, 이 로그가 핵심일 것이다.

그렇다면 이걸 나중에 막을 방법은?

사실 이상 트랜젝션 검출을 하면 된다. 일단 PK에 대응하는 어드레스의 트랜젝션들을 계속 감시하면서 이상 트랜젝션이 발생하면, 앞에서 말한 것처럼 가스비를 더 높게 주는 같은 nonce 값을 갖는 트랜젝션을 생성해서 트랜젝션을 덮어 씌우고, 잠시 입출금을 동결하거나 서버 점검을 돌리면 될 것이기 때문이다.

즉, 트랜젝션의 Gas Price, 금액, Data 필드만 제대로 감시를 했어도 바로 대응이 가능했으리라고 보고 있다.

결론은?

보면 실수처럼 보이지만, 의도는 분명한 것들이 있다. 초보자라는 느낌이 들지만, 그렇다고 해킹의 초보는 아니고, 아마 블록체인을 그렇게까지는 잘 알고 있는 타입까지는 아닌 것 같다. 사실, 나 같았으면 Gas Price를 100 Gwei를 넣고 Data 필드는 비워놨을 것이다. (그래도 별 문제는 없다.) 아님 한 번에 10~20 이더를 출금하는 대량의 (팬딩) 트랜젝션을 발생시키거나 하는 방식으로 침임 탑지가 되나 막기가 까다로운 방식으로 공격을 감행했을 것이다. 하지만, 요번 공격은 흔적이 덜 남는 쪽으로 공격을 했어야했는데, 이미 충분한 시그니처가 남아버렸고, 이미 어드레스에 대한 추적도 이루어지니, DEX를 통하거나 토큰으로 스왑하지 않는 이상 현금화는 어려우리라 보고 있다.

(아님, Ethereum 2.0 Deposit Contract에 이체하던지?)

나는 사실 github pages로 스태틱이 아닌 페이지를 운영하는 걸 엄청 싫어한다. 일단, 제대로 된 위지윅 에디터를 지원하지 않는다는 점. Markdown의 어중간함. 그리고, 블로그 글을 쓸 때마다 커밋해야한다는 점이 엄청난 스트레스로 와 닿게 되는데 이 부분에 대해서 제대로 된 해결을 본 적이 없었다.

하지만, 그럼에도 불구하고 블로그를 여기다 개설하고 쓰는 이유는 역시, 티스토리에서 쓰기에는 미묘하게 불편하고, 미디엄은 써먹지를 못하겠고, 브런치는 작가 신청 거절을 벌써 3번씩이나 받았기 때문이다.

benjioh5.com 라는 도메인에 blog.benjioh5.com 이라는 형태로 아예 따로 Ghost나 Hexo 기반으로 블로그를 돌릴 생각도 했었으나, 역시 AWS 설정하고 난리를 쳐야해서 패스, 테터툴즈를 뜯어 고쳐 써보자고 보니 메인테인이 아예 중단되어서 포기, 결국 남은 건 이전에 블로그를 파 놨던 이 녀석 뿐이였다.

일단 마크다운이 불편하다 하지만, Typora의 도움을 받아서 글을 쓰면 되고, 일단 프론트엔드를 잘 모르는 것도 아니고, 사실 여기서 쓰는 블록체인 관련 글들은 상당히 전략적인 글들이 될 것이기 때문에 -실명 걸고 쓰는 글인데!- 그냥 일단 2~3백 개의 글을 서빙 할 일도 없고 (티스토리에서는 그러고 있다) 해서 그냥 다수의 불편함을 무시하고 글을 쓰기로 마음 먹었다.

그래서, 블록체인 글들을 무엇을 쓸 것이냐고?업계 관련된 폭탄과도 같은 이야기만 쓸 것이다. 촤하하하하하농담이고, 현재 개발하는 시스템이나 관련 기사 번역, 라이브러리 리뷰, 그리고 사실 업계 까는 글이나 업계 관련해서 제대로 못 만드는 부분들에 대해서 지적을 하는 위주의 글을 쓸 것 같다.

지금까지 불만이었던 것들은 블록체인 관련된 제대로 된 글들도 없을 뿐더러, 기초부터 처음부터 끝까지 쓰는 글들은 별로 없는 편이다. 이러한 부분들에 대해서 개선을 할 방법은 역시 기술 문서를 작성하고 개선하는 일인데, 일단 반 쯤 죽어가고 있는 Univ Wiki 같은 프로젝트나 몇몇 개인적인 프로젝트들을 묶어서 다시 문서화 하고, 공개하는 쪽으로 방향을 잡고 있다.일단 일주일에 글을 하나씩 쓰는 것을 목표로 블로그를 운영하려고 한다.

Jekyll로 블로그를 운영을 하고 있는게 하나 있지만, 역시 성에 안 차는 것도 있고, 이미지 임베드부터, 마크다운 강제까지 하나 같이 마음에 드는 부분이 없어서 일단 블로그를 옮기기로 마음을 먹었다.

기존 블로그 글들을 다시 옮기는 작업부터 해야하는데, 그건 귀찮아서 안 하고 있고, 신규로 사고 친 것들에 대해서 정리를 할까 하고 있다. 패치 이후 협의가 빠그라든 줄 알았던 취약점 제보 한 건이 제대로 잭팟을 터뜨려줘서, 일단 그 취약점 제보건에 대해서 이야기를 제일 먼저 쓰지 않을까 싶다.

뭐, 근황이나 삶이나 뭐 회사 사정이나 뭐 제대로 돌아가는 건 없긴하지만, 일단 그래도 뭐라도 제대로 돌아는 가고 있다는 것만 알아줬으면 하는거고, 이런저런 생존을 위한 발버둥을 치고 있다는 것만 알았으면 한다.

• univ.wiki 관련해서 그냥 엔진부터 다시 만들 준비를 하고 있다. wiki.js 쓰려고 보니 역시 한계가 너무 명확하다.
• Ethereum 관련 정적/동적 분석 툴링이 다 개판이어서 이거 관련된 작업을 하고 있다. 정확히는 parity 뜯어서 확장 모듈 만들고,  EVM 디컴파일러, EVM 툴셋 만드는 중이다.
• DeFi 관련해서, 해킹 피해가 건당 200만 불 이상, 취약점 제보 건별로 5만 불 정도로 책정이 된 케이스가 많아서 이 쪽 관련 틈날 때마다 확인하고 있다. (특히, harvest.finance 건이 제일 흥미롭다. 얘는 해커 신원 확보한 사람에게 100만불을 주겠다는 바운티를 걸었는데, 한 2~3개월이 지나야지 잡을 수 있는게 아닐까?)
• 이전에 잠시 대기 상태로 돌렸던 트랜젝션 추적 관련 기술에 대해서 리서치를 틈날때마다 하고 있다. 일반적으로 믹서의 시대는 저물었고 (사용자가 적다) 현재는 renVM이나 카이버네트워크를 경우하는 인터체인간 세탁이나, DeFi 컨트랙트를 이용한 플래시 론, 스테이킹 등 혼합 전략을 사용하는 케이스가 많다
• 밀린 일 처리...가 제일 급해서 사실 이것만 하고 있다.

여튼, 탈블은 안 했고, VM, 리버싱, 펜 테스팅, 오펜시브 쪽으로 방향을 잡았고, 이를 위한 툴 개발들을 조용히 하고 있다. 조용히... :)