레드스톤, 최대 25만달러 걸고 스마트계약 취약점 제보 접수

레드스톤(RedStone)이 스마트계약 취약점 제보 프로그램에서 중대 결함 보상 상한을 25만달러(약 3억3375만원)로 정했다. 웹 취약점 프로그램의 중대 등급 보상액은 1만달러(약 1335만원)다.

두 프로그램은 10월 22일 시작됐다. 레드스톤이 해켄프루프(HackenProof)에 공개한 스마트계약 운영 기준과 웹 운영 기준에는 제보 범위와 보상 기준이 담겼다. 보상액은 유효한 결함의 위험도와 영향에 따라 정한다.

스마트계약 프로그램의 중대 등급 보상 범위는 5만~25만달러(약 6675만~3억3375만원)다. 레드스톤은 전체 연동 서비스가 보호하는 가치에서 3%를 넘는 손실을 초래할 수 있는 결함을 중대 등급으로 분류한다.

이 기준은 실제 발생한 피해액이 아니라 결함이 초래할 수 있는 잠재 손실을 가리킨다. 손실 규모는 레드스톤이 연동한 서비스 전체의 보호 가치를 기준으로 산정한다.

고위험 등급 보상 범위는 1만~5만달러(약 1335만~6675만원)다. 레드스톤은 전체 보호 가치의 0.3%를 넘는 손실을 일으킬 수 있는 결함을 이 등급으로 분류한다.

스마트계약 제보 대상에는 이더리움 호환 환경의 연결 계약과 솔라나·수이 등 다른 네트워크의 연결 코드가 포함된다. 무단 거래, 자금 손실, 거래 조작과 재진입 오류 등이 조사 대상이다.

웹 프로그램은 레드스톤 애플리케이션과 회사 웹사이트, 문서 사이트를 대상으로 한다. 권한 통제 실패와 민감 정보 노출도 조사 대상에 포함된다.

웹 취약점 보상액은 중대 등급 1만달러(약 1335만원), 고위험 등급 5000달러(약 667만5000원), 중위험 등급 2000달러(약 267만원)다. 스마트계약 프로그램과 웹 프로그램은 대상과 보상 기준이 다르다.

보상을 받으려면 해당 결함을 가장 먼저 제보해야 하며, 발견 후 24시간 안에 해켄프루프를 통해 신고해야 한다. 신고서에는 문제를 재현하는 방법을 적고 필요한 경우 개념증명(PoC)도 제출해야 한다.

오라클은 블록체인 밖의 가격 정보를 스마트계약에 전달하는 인프라다. 대출 서비스는 이 정보를 담보 가치 평가와 청산 판단에 활용한다.

가격 정보가 잘못 전달되거나 처리되면 스마트계약의 담보 평가와 청산 판단에도 영향을 줄 수 있다. 취약점 제보 프로그램은 이런 결함을 정해진 범위에서 신고하고 심사받도록 마련한 절차다.

레드스톤은 100억달러(약 13조3500억원) 이상의 디파이 가치를 보호한다고 밝혔다. 고객사로 스파크, 컴파운드, 모포, 리도 등을 들었으며, 블랙록과 아폴로 관련 시큐리타이즈 상품에도 오라클 기능을 제공한다고 설명했다.

여기서 보호 가치는 레드스톤이 직접 보유한 자산을 뜻하지 않는다. 레드스톤은 자사 기술 문서에서 대출 시장과 금고 서비스에 가격 정보를 제공한다고 설명한다.

레드스톤은 앞서 자사 보안 설명에서 퀀트스탬프와 펙실드 등 외부 업체의 스마트계약 감사를 받았다고 밝혔다. 이번 프로그램은 외부 연구자가 정해진 범위 안에서 취약점을 제보할 수 있는 절차를 더한 것이다.

본지는 앞서 제보 1055건 가운데 32건에 보상한 1인치의 사례를 보도했다. 제보 접수 건수와 실제 보상 건수는 구분된다.