타리, 메인넷 보안 패치하고 브리지 재개…오픈소스 보상도 실제로 굴러감

• 타리(XTM)가 레이어1(L1) 보안 패치를 배포하고 브리지 서비스를 다시 열었음

  • 7월 28일 공개된 Tari Show에서 L1 보안 검토 중 발견된 취약점을 고쳤고, 수정 코드는 베이스 노드에 반영됐다고 밝힘
  • 거래소와 네트워크 운영자들이 먼저 소프트웨어를 업데이트할 시간을 가진 뒤 패치 내용이 공개됐다는 점도 포인트임

• 핵심 취약점은 기밀 거래 증명에 쓰이는 Bulletproofs Plus 배치 검증 코드에서 나왔음

  • 기존 구현에서는 한 번에 250개를 초과하는 증명이 들어오면 일부 증명이 검증 과정에서 빠질 가능성이 있었음
  • 프라이버시 블록체인에서 증명 검증이 삐끗하면 ‘거래는 숨기되 검증은 믿을 수 있어야 한다’는 전제가 흔들리니 꽤 민감한 문제임

• 개발팀은 검증 로직만 고친 게 아니라 노드 운영 안정성도 같이 손봤음

  • 노드가 동시에 처리할 수 있는 요청 수를 제한해 서비스 거부 공격 가능성을 낮춤
  • 유휴 연결이 RPC 처리 공간을 계속 점유하는 문제도 수정함
  • 유효하지 않은 피어 주소가 필터링되지 않던 오류도 같이 개선함

• 지갑 보안 문제도 별도로 고쳐졌지만, 세부 내용은 아직 공개되지 않았음

  • 이용자와 거래소 같은 주요 네트워크 참여자들이 충분히 업데이트한 뒤 공개할 예정이라고 함
  • 보안 패치에서 흔히 보는 방식임. 먼저 방어할 시간을 주고, 공격자가 바로 재현할 만한 디테일은 나중에 푸는 흐름임

• 난이도 조정 알고리즘 관련 RFC도 개정됐음

  • 새 문서에는 중복 블록이 생겼을 때 난이도를 어떻게 조정할지, 왜 그렇게 바꾸려는지가 추가됨
  • 실제 적용 전 공개 기술 검토를 거칠 예정이라, 메인넷 운영 로직을 닫힌 회의실에서만 정하지 않겠다는 신호로 볼 수 있음

• 이용자용 앱 Tari Universe 쪽도 계속 손보는 중임

  • 카운트다운 타이머와 블록 시간 표시 오류를 수정하고 있음
  • 일부 듀얼 GPU 환경에서 부적절한 장치가 선택되는 문제는 외부 개발자가 참여할 수 있는 공개 바운티 과제로 올라감

• Tari Universe의 패키지 관리 체계는 npm에서 pnpm으로 전환됐음

  • 개발팀은 의존성 관리와 공급망 보안 환경을 개선하기 위한 결정이라고 설명함
  • 요즘 오픈소스 프로젝트에서 패키지 매니저 선택은 단순 취향 문제가 아니라 빌드 재현성, 락파일 관리, 의존성 공격면까지 걸린 이슈임

• 외부 개발자 보상 프로그램도 말뿐이 아니라 실제 지급까지 갔음

  • stealth fee-claim 오류를 수정한 개발자에게 6만 XTM이 지급됨
  • 공개 과제를 올리고, 외부 기여자가 고치고, 결과에 따라 보상하는 구조가 실제 메인넷 운영에서 작동한 셈임

---

기술 맥락

• 이번 패치에서 제일 중요한 건 ‘프라이버시를 지키는 증명’과 ‘그 증명을 빠짐없이 검증하는 코드’가 같은 무게로 다뤄졌다는 점이에요. Bulletproofs Plus는 거래 내용을 숨기면서도 유효성을 검증하게 해주는 기술인데, 배치 검증에서 일부 증명이 빠질 수 있으면 네트워크 신뢰가 흔들릴 수 있거든요.

• RPC 처리 제한을 같이 넣은 것도 현실적인 운영 판단이에요. 블록체인 노드는 외부 요청을 계속 받는 서버이기도 해서, 유휴 연결이 처리 슬롯을 잡아먹으면 정상 이용자 요청까지 밀릴 수 있어요. 그래서 검증 버그 패치와 서비스 거부 공격 완화를 한 번에 묶어 처리한 거예요.

• npm에서 pnpm으로 옮긴 결정은 앱 개발 쪽 공급망 보안과 맞닿아 있어요. Tari Universe처럼 이용자에게 배포되는 앱은 의존성 트리가 커질수록 공격면도 넓어지는데, 패키지 관리 체계를 정리하면 빌드 재현성과 의존성 통제가 조금 더 쉬워져요.

• RFC를 공개 검토로 돌리고 외부 바운티에 보상을 지급한 것도 기술 운영 방식의 일부예요. 메인넷은 출시가 끝이 아니라 계속 고치며 버티는 시스템이라, 내부 팀만으로 모든 버그와 엣지 케이스를 잡기 어렵거든요.