솔라나 5만 SOL 보안대회, 시계 공격 제외

솔라나(SOL)의 새 합의 체계 알펜글로우(Alpenglow)를 겨냥한 최대 5만 SOL 규모 보안 콘테스트에서 레거시 시계 공격은 직접 심사 대상에 포함되지 않은 것으로 나타났다. 쟁점은 공격의 존재 여부보다 해당 공격 경로가 이번 바운티 규칙상 범위에 들어가는지다.

앤자(Anza)는 알펜글로우 버그 바운티 규칙 문서에서 제출 기간을 한국시간 2026년 8월 6일 오전 1시부터 8월 20일 오전 1시까지로 정했다. 심사는 9월 2일까지 진행되며, 보상 풀은 최대 5만 SOL이다.

제출은 지정 포털을 거쳐 깃허브(GitHub) 보안 권고 형식으로 접수해야 한다. 다른 경로로 들어온 제보는 보상 대상이 아니며, 각 제보에는 0.5 SOL 비환불 소각 조건도 붙었다. 본지는 앞서 앤자가 제출 1건마다 0.5 SOL을 비환불로 소각하도록 했다고 보도했다.

이번 바운티의 범위는 좁게 설계됐다. 규칙은 아가브(Agave)의 알펜글로우 활성 합의 코드와 TowerBFT에서 알펜글로우로 넘어가는 마이그레이션 경로를 대상으로 삼았다. 반대로 알펜글로우가 꺼져 있을 때만 도달 가능한 경로는 TowerBFT 영역으로 분류해 범위 밖에 뒀다.

USENIX Security ’26에 오른 논문 ‘Exploiting PoH Time Semantics in Solana via Re-Anchoring and Forking’은 솔라나의 기존 Proof of History(PoH) 시간 구조와 TowerBFT 포크 선택을 이용하는 공격면을 다뤘다. USENIX 초록은 악의적 리더가 유효한 블록을 보류했다가 더 이른 PoH 논리시간에 묶인 블록을 내보내 검증인의 시간 기준을 되돌리는 방식을 설명했다.

연구진은 이를 바탕으로 시간 인플레이션 공격과 포크 보조 시간 인플레이션 공격을 제시했다. 공개 초록에는 테스트베드 구현과 온체인 데이터 분석이 포함됐다고 적혀 있다. 다만 메인넷에서 자금 탈취가 발생했다거나 합의 안전성이 깨졌다는 내용은 제시되지 않았다.

이 대목이 이번 논란의 중심이다. 크립토슬레이트는 해당 공격이 알펜글로우 콘테스트 범위 밖에 놓였다고 보도했다. 공개 규칙과 USENIX 초록을 대조하면 논문이 겨냥한 경로는 알펜글로우 활성 코드보다 레거시 PoH·TowerBFT 구조에 가깝다.

PoH는 솔라나가 블록 순서와 논리적 시간을 구성하는 방식이다. TowerBFT는 이 시간 구조를 바탕으로 검증인 투표와 포크 선택을 처리해 온 기존 합의 구조다. 알펜글로우는 이 구조를 Votor 중심의 새 합의 방식으로 바꾸는 업그레이드다.

솔라나 공식 알펜글로우 페이지는 새 합의가 Votor를 중심으로 도입되며 TowerBFT를 대체한다고 설명한다. 목표 최종성은 약 150밀리초다. 예상 메인넷 활성화 시점은 2026년 3분기, 데브넷 활성화는 Agave 4.3으로 제시됐다.

Agave 4.2 안내도 같은 구도를 뒷받침한다. 솔라나 재단은 Agave 4.2에 알펜글로우 코드가 포함되지만 메인넷에서는 활성화하지 않고, Agave 4.3에서 활성화를 목표로 추가 시험과 강화를 진행한다고 밝혔다.

따라서 현재 쟁점은 새 합의가 이미 작동하는지가 아니다. 전환기 동안 남아 있는 레거시 경로를 어디까지 검증 대상으로 삼을지, 그리고 레거시 공격 경로가 알펜글로우 활성 상태에서도 재현될 수 있는지가 핵심이다. 공개 문서만으로는 같은 공격이 알펜글로우 활성 경로에 그대로 연결되는 변형은 확인되지 않는다.

공개 이슈에서도 보안 검증은 이어지고 있다. anza-xyz/agave 깃허브에는 8월 7일 알펜글로우 관련 가용성 손실 이슈가 올라왔고, 해당 이슈에는 알펜글로우 활성화 전 수정이 필요하다는 라벨이 붙었다. 이는 USENIX 논문과 별개 사안이지만, 합의 전환 전 검증 범위가 계속 조정되고 있음을 보여준다.

업계 반응은 성능 개선 기대와 보안 검증 우려가 함께 나온다. 공개 포럼에서는 알펜글로우를 두고 버그 바운티, 형식 검증, 단계적 배포, 롤백 절차가 실제로 준비됐는지 묻는 글이 올라왔다. 다른 글은 알펜글로우를 신뢰성 강화 시도로 해석하면서도 솔라나의 기존 정체성이 흔들릴 수 있다고 봤다.

알펜글로우는 솔라나의 성능 개선 서사와 맞물려 있지만, 이번 사안은 속도보다 검증 범위의 문제를 드러냈다. 5만 SOL 규모 바운티가 열렸더라도 규칙상 제외된 레거시 경로와 논문별 구현 검토가 공개됐는지는 별개의 문제다. 앤자의 바운티 심사는 9월 2일까지 진행될 예정이다.