지캐시 노드 취약점 7건 수정…재단, NU7 전 갱신 권고

지캐시(ZEC) 노드 소프트웨어 Zebra 7.0.0이 보안 취약점 7건을 수정했다. 이 가운데 6건은 동기화나 검증을 방해하거나 정상 피어를 차단할 수 있었고, 1건은 노드 프로세스를 종료시킬 수 있었다.

지캐시재단(Zcash Foundation)은 3일 공개한 개발 업데이트에서 이 같은 수정 내용을 밝혔다. 재단의 보안 권고에서 취약점 심각도는 '높음' 5건, '중간' 2건으로 분류됐다.

초기 동기화 과정에서 피어가 위조된 체크포인트 블록 본문을 보내면 Zebra가 정상 블록을 다시 내려받지 못할 수 있었다. 이 문제는 초기 동기화를 멈추게 할 가능성이 있었다.

위조된 블록 뒤에 잘못된 블록까지 들어오면 검증 진행 상태가 실제 노드 상태보다 앞서 정상 블록을 거부할 수 있었다. 재단은 실패한 체크포인트 위의 블록 기록을 지우고 검증 진행 상태를 되돌리도록 수정했다.

잘못된 투명 스크립트를 담은 거래를 검증할 때 피어에 불이익 점수가 부과되지 않는 문제도 있었다. 같은 피어가 검증 작업을 반복해서 유발할 수 있어 해당 동작을 고쳤다.

서명 해시를 입력마다 새로 계산해 큰 거래 한 건이 중앙처리장치(CPU)를 수분 동안 점유할 수 있는 문제도 수정됐다. 거래 검증 스레드가 오래 묶일 수 있는 취약점이다.

코인베이스 성숙도 검사에서는 거래 입력마다 출력 목록을 다시 만들어 검증 작업을 오래 붙잡을 수 있었다. 재단은 이 문제가 Zebra 6.4.0에서 생긴 회귀 오류라고 밝혔다.

한 블록 앞선 피어가 유효한 잠금시간 거래를 전달했는데도 해당 피어가 차단될 수 있는 문제도 있었다. 이 역시 보안 수정 대상에 포함됐다.

피어와 연결을 끊는 순간 대기 중인 전송이 겹치면 zebrad 프로세스가 종료될 수 있었다. 재단의 보안 권고는 이 문제가 자금이나 합의 상태에 영향을 주지 않으며, 노드를 다시 시작하면 복구된다고 설명했다.

Zebra 7.0.0은 10월 22일 배포된 NU7 지원 첫 안정 버전이다. 상태 데이터베이스 형식도 이 버전에서 v28에서 v29로 바뀐다.

NU7은 목표 블록 간격을 75초에서 25초로 줄인다. NU7의 블록 간격 단축과 메인넷 적용 목표는 앞서 보도했다.

재단은 채굴자들이 블록 템플릿 생성과 블록 수용·전파 속도가 느리다고 알렸다고 전했다. 이에 채굴자와 채굴 풀을 위한 시험판 Zebra 7.1.0-alpha.0을 별도로 공개했다.

NU7이 활성화되면 버전 4 거래는 유효하지 않게 된다. Sprout 풀의 자산은 버전 4 거래로만 옮길 수 있어, 활성화 뒤에도 남아 있으면 사용할 수 없게 된다. 버전 5·6 거래는 계속 유효하다.

Zebra 7.0.0에서 Zebra 6.x로 되돌리려면 전체 재동기화가 필요하다. 피어별 모니터링 지표의 라벨도 바뀌어 기존 대시보드 설정을 점검해야 한다. 재단은 이번 안정 버전의 지원 기간을 통상 12주에서 8주로 줄였다.

지캐시재단은 「ZF Engineering Update: October 20–November 2, 2026」에서 11월 3일 게시 기준 NU7 메인넷 활성화 목표를 11월 5일 전후로 제시했다. 실제 활성화는 날짜가 아니라 354만3405번째 블록 도달로 결정되며, 재단은 운영자에게 활성화 전에 소프트웨어를 갱신하라고 안내했다.