알펜글로우 제보 300건, 보안 심사 들어갔다

솔라나(SOL)의 차기 합의 프로토콜 알펜글로우(Alpenglow) 버그바운티가 300건 넘는 취약점 제보를 받은 뒤 심사 단계로 넘어갔다.

안자(Anza)가 주관한 이번 보안 경연은 8월 6일 오전 1시부터 8월 20일 오전 1시까지 한국시간 기준 2주 동안 진행됐다. 크립토브리핑은 전 세계 보안 연구자들이 300건 넘는 제보를 제출했다고 전했다.

안자는 알펜글로우 규칙서에서 총 보상 한도를 최대 5만 솔라나로 정했다. 보상은 심사 뒤 취약점의 유효성, 중복 여부, 심각도에 따라 달라지는 구조다.

제보는 알펜글로우 전용 제출 포털을 통해 접수됐다. 각 보고서는 깃허브 보안 권고 형식으로 비공개 제출해야 했고, 보고서마다 환불되지 않는 0.5 솔라나 수수료가 붙었다.

이번 경연은 단순 기능 업데이트 점검이 아니라 합의 구조 변경을 겨냥했다는 점에서 무게가 있다. 알펜글로우는 솔라나의 기존 최종성 구조를 바꾸고 거래 확정 시간을 줄이는 업그레이드다.

솔라나재단(Solana Foundation)은 알펜글로우 공식 업그레이드 페이지에서 목표 최종성을 약 150밀리초로 제시했다. 같은 자료는 현재 솔라나의 사전 확인 지연 시간을 약 400밀리초, 타워비에프티(TowerBFT) 최종성을 12.8초로 비교했다.

최종성은 블록체인에서 거래가 되돌릴 수 없는 상태로 확정되는 절차를 뜻한다. 이용자 화면에 먼저 보이는 빠른 확인과 달리, 네트워크 합의 차원에서 블록이 확정되는 기준이다.

알펜글로우 1단계는 보터(Votor)를 중심으로 진행된다. 보터는 검증자 투표와 인증서 구조를 바꾸는 합의 알고리즘이다.

빠른 경로에서는 지분 80% 이상이 1차 라운드에서 블록을 공증하면 최종화가 이뤄진다. 기준을 넘지 못하면 2차 라운드에서 60% 지분 기준의 인증서로 공증, 최종화, 스킵 여부가 결정된다.

심사 대상에는 아가브(Agave) 검증자 코드베이스 안의 보터, 보터 메시지, 비엘에스(BLS) 서명 검증, 비엘에스 인증서 검증 코드가 포함됐다. 알펜글로우가 꺼져 있을 때만 도달할 수 있는 기존 타워비에프티 영역은 경연 범위에서 빠졌다.

연구자는 실제 메인넷이나 공개 테스트넷을 공격할 수 없었다. 로컬 포크나 시뮬레이션 환경에서 재현 근거를 제시해야 했다.

이번 버그바운티는 솔라나가 최종 확정 시간을 150밀리초 수준으로 낮추는 알펜글로우를 준비하고 있다는 앞선 흐름의 후속 절차다. 앞서 본지는 알펜글로우가 검증자 투표 방식과 블록 최종성 구조를 바꾸는 프로토콜 변경이라고 보도했다.

심사에서 중요한 쟁점은 접수된 300여 건 가운데 실제 취약점으로 인정되는 비율과 수정 범위다. 합의 안전성 위반, 가용성 상실, 서비스거부 공격, 자금 손실 가능성 등은 보상 판단의 핵심 기준으로 제시됐다.

최대 5만 솔라나 보상 풀은 자금 손실로 이어질 수 있는 유효 제보가 확인될 때 열리는 구조다. 보상으로 지급되는 솔라나는 경연 종료 뒤 1년 동안 잠긴다.

안자 규칙서상 심사 종료일은 9월 2일이다. 솔라나재단은 알펜글로우를 개발 중인 업그레이드로 표시하고, 예상 메인넷 활성화 시점을 2026년 3분기로 적었다.