💻 computer science

Legitimate Overrides in Decentralized Protocols

본 논문은 탈중앙화 프로토콜의 비상 재정의 메커니즘을 분석하기 위해 범위와 권한의 분류 체계 및 확률적 의사결정 프레임워크를 제안하며, 705 건의 악용 사례 분석을 통해 더 좁고 정밀한 개입이 속도 저하 없이 손실을 효과적으로 통제할 수 있음을 입증함으로써 논쟁을 이념적 우려에서 공학적 절충안으로 재정의한다.

원저자: Oghenekaro Elem, Nimrod Talmon

게시일 2026-04-27

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Oghenekaro Elem, Nimrod Talmon

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

분산형 블록체인 프로토콜을 거대한 자율주행 버스 시스템으로 상상해 보세요. 이 시스템의 핵심은 단일 운전자가 버스를 멈추거나 경로를 변경하거나 승객을 내릴 수 없다는 점입니다. 이 시스템은 '불변성' 규칙에 따라 작동합니다. 즉, 버스가 역을 출발하면 미리 프로그래밍된 경로를 영원히 따릅니다.

하지만 테러리스트가 버스를 납치하거나 엔진에서 대규모 화재가 발생하면 어떻게 될까요? 버스가 멈출 수 없다면 모두 다치게 됩니다. 이 논문이 다루는 핵심 문제는 바로 이것입니다: 약속 자체를 깨뜨리지 않으면서, 약속이 '버튼이 없다'는 시스템에 어떻게 '정지 버튼'을 구축할 수 있을까요?

다음은 일상적인 비유를 사용하여 논문의 주요 발견 사항을 간략히 정리한 것입니다.

1. 핵심 딜레마: "비상 제동" 역설

논문의 저자들은 이를 불변성 - 개입 역설이라고 부릅니다.

문제: 납치 발생 시 버스를 멈추기 위한 버튼이 있다면 승객들을 구할 수 있습니다. 하지만 그 버튼의 존재 자체가 사람들을 불안하게 만듭니다. "운전자가 내 옷차림이 마음에 안 든다는 이유로 버스를 멈추기 위해 그 버튼을 사용할까 봐" 걱정하게 됩니다.
현실: 실제 세계에서는 해커들이 수십억 달러를 훔친 경우 (2016 년의 유명한 DAO 해킹 사건과 같이) 커뮤니티가 실제로 비상 버튼을 눌렀습니다 (하드 포크 또는 시스템 재시작). 이는 작동했지만, '불변성'이 실제로는 마법 같은 법칙이 아니라 사회적 합의임을 증명했습니다.

2. 두 가지 레버: 범위와 권한

저자들은 프로토콜이 비상 사태를 처리하는 다양한 방식을 체계화하기 위해 간단한 지도 (분류 체계) 를 만들었습니다. 그들은 모든 비상 메커니즘이 두 가지 다이얼을 가지고 있다고 말합니다.

다이얼 A: 범위 (폭발 규모는 얼마나 큰가?)
집에서 누수를 막으려 한다고 상상해 보세요.

네트워크 범위: 누수를 막기 위해 전체 이웃 지역을 침수시킵니다. (모든 것을 멈추지만 엄청난 혼란을 초래합니다).
자산 범위: 부엌으로만 수도를 차단합니다.
계정 범위: 특정 물방울이 떨어지는 수도꼭지 아래에 양동이를 둡니다. (가장 정밀하고 혼란이 가장 적습니다).
논문의 발견: 누수를 막기 위해 전체 이웃을 침수시킬 필요는 없습니다. 좁고 정밀한 조치 (해커의 계정만 동결하는 것 등) 는 도둑질을 막는 데 똑같이 효과적이지만, 무고한 사람들에게 훨씬 적은 혼란을 초래합니다.

다이얼 B: 권한 (누가 열쇠를 들고 있는가?)

서명자 집합 (과두제): 마스터 키를 가진 3 명의 신뢰할 수 있는 소수 그룹입니다. 30 분 안에 행동할 수 있습니다. 장점: 빠릅니다. 단점: 소수이고 강력한 클럽이기 때문에 사람들이 그들을 덜 신뢰합니다.
위임된 기구 (대표자): 선출된 10 명의 전문가로 구성된 이사회입니다. 투표에 1~2 시간이 걸립니다. 장점: 속도와 신뢰의 좋은 균형입니다.
거버넌스 프로세스 (직접 민주주의): 버스 안의 모든 승객에게 투표를 요청합니다. 이는 며칠에서 몇 주가 걸립니다. 장점: 매우 정당합니다. 단점: 납치 사건에는 너무 느립니다. 버스는 이미 사라진 뒤입니다.

3. 대량 데이터: 실제로 무슨 일이 일어났는가?

저자들은 2016 년부터 2026 년까지의 705 건의 실제 해킹을 분석했습니다. 그들이 발견한 바는 다음과 같습니다.

"수퍼 해킹" 규칙: 대부분의 해킹은 작지만, 극히 일부는 치명적입니다. 산불과 같습니다: 피해의 80% 가 50 개 미만의 대규모 산불에서 발생합니다. 이는 비상 도구가 작은 사건이 아닌 드문 대규모 재해를 막는 데 가장 가치가 있음을 의미합니다.
속도 vs 신뢰: 데이터는 트레이드오프를 확인시켜 줍니다. "서명자 집합" (소수 그룹) 은 피를 멈추는 데 가장 빠르지만, 시스템의 "신뢰" (사람들이 덜 안전하다고 느끼는 것) 를 희생시킵니다. "거버넌스" (투표) 는 가장 신뢰받지만, 빠르게 진행되는 해킹을 막기에는 너무 느립니다.
"최적 지점": 가장 성공적인 실제 솔루션들은 일반적으로 위임된 기구 (이사회) 를 포함합니다. 그들은 해킹을 멈추기에 충분히 빠릅니다 (보통 1 시간 이내) 하지만, 사람들이 시스템이 한 사람에 의해 납치되었다고 느끼지 않도록 충분한 감독을 제공합니다.

4. "무드 링" 요인

논문의 저자들은 커뮤니티 감정에 대해 흥미로운 점을 발견했습니다.

커뮤니티가 비상 제동의 아이디어를 좋아한다면, 그 제동을 갖는 "비용"은 낮습니다. 사람들은 이를 수용합니다.
커뮤니티가 그 아이디어를 싫어한다면 (중앙집권화라고 생각하여), "비용"은 증가합니다. 제동이 완벽하게 작동하더라도 사람들이 그것이 진정한 분산형 시스템이 아니라고 느끼기 때문에 시스템의 가치는 떨어집니다.
비유: 이는 이웃 감시대와 같습니다. 이웃들이 감시대장을 신뢰하면 더 안전하다고 느낍니다. 만약 그들이 감시대장이 폭군이라고 생각한다면, 감시대장이 실제로 도둑을 막고 있더라도 사람들은 불안해합니다.

5. 주요 교훈: 이념이 아닌 공학

이 논문은 비상 권한을 "선 대 악"의 이념적 논쟁으로 취급하는 것을 중단해야 한다고 주장합니다. 대신, 그것은 공학적인 트레이드오프입니다.

못을 박기 위해 망치를 쓰지 마세요: 해커의 계정만 동결해야 한다면 전체 블록체인을 종료하지 마세요.
마을 회의가 열릴 때까지 기다리지 마세요: 불이 번지고 있다면, 전체 도시의 투표가 아니라 소화기 (소수 신뢰 팀) 가 필요합니다.
목표: 완전한 혼란 (브레이크 없음) 이나 전제군주 (한 사람이 열쇠를 쥠) 에 의존하기보다는, "책임 있는" 팀 (위임된 기구) 이 통제하는 "외과 수술용" 도구 (정밀한 범위) 를 갖춘 시스템을 설계하는 것입니다.

요약하자면: 논문은 분산형 시스템을 안전하게 유지하기 위해 위기 상황 중 "완벽한" 불변성은 불가능하다는 것을 인정해야 한다고 말합니다. 대신, 커뮤니티가 그들을 얼마나 신뢰하는지에 따라 조정된 책임 있는 그룹이 통제하는 스마트하고 정밀한 비상 제동을 구축해야 합니다.

오게네카로 엘렘과 니므로드 탈몬의 논문 "탈중앙화 프로토콜에서의 정당한 오버라이드"에 대한 상세한 기술 요약입니다.

1. 문제 제기

탈중앙화 프로토콜 (블록체인, DeFi) 은 불변의 규칙 기반 실행을 통해 운영된다고 주장합니다. 그러나 이들은 빈번히 기술적 악용 (재진입, 논리 버그 등) 과 시스템적 실패에 직면합니다. 치명적인 손실을 완화하기 위해 많은 프로토콜은 비상 오버라이드 메커니즘 (체인 정지, 계정 동결, 프로토콜 일시 중단 등) 을 내장하고 있습니다.

이는 불변성–개입 역설이라는 근본적인 긴장을 야기합니다:

안전성 vs. 생존성: 오버라이드는 나쁜 상태 전이 (도난) 를 중단시켜 안전성을 향상시키지만, 생존성 (검열 저항성) 을 저하시키고 "상설 중앙화 비용"을 도입합니다.
정당성 vs. 재량권: 커뮤니티가 위기 시 개입을 요구하는 반면, (사용되지 않더라도) 특권적 오버라이드 기능의 존재 자체는 신뢰를 훼손하고 가치를 감소시키며, 중앙화 백도어로 인식될 수 있습니다.
임시적 설계: 이러한 메커니즘 설계에 대한 현재 접근법은 주로 이념적이며 일관성이 없고, 트레이드오프 분석을 위한 정량적 프레임워크가 부족합니다.

이 논문은 시스템적 실패 (테라/루나 등) 가 막대한 손실을 초래하는 반면, 약 100 억 달러의 손실은 이론적으로 온체인 비상 메커니즘으로 해결될 수 있는 기술적 악용에서 비롯된다고 지적합니다.

2. 방법론

저자들은 이론적 모델링, 헌법적 정치 이론, 대규모 실증 분석을 결합한 혼합 방법론을 사용합니다.

A. 이론적 프레임워크: 범위 × 권한 분류법

저자들은 비상 메커니즘의 설계 공간을 매핑하기 위해 2 차원 분류법을 제안합니다:

범위 (정밀도/파급 반경): 광범위에서 좁은 수준까지의 개입 정밀도 계층:
- 네트워크: 체인 전체 정지/포크.
- 자산: 모든 보유자의 특정 토큰 동결.
- 프로토콜: 특정 애플리케이션 (예: 대출 시장) 일시 중단.
- 모듈: 특정 기능 (예: 청산만) 비활성화.
- 계정: 특정 주소 타겟팅.
권한 (트리거 보유자): 집중도에 따라 순서대로 나열된 메커니즘 트리거 주체:
- 서명자 세트: 키 기반 (예: 1-of-n 멀티시그).
- 위임된 기구: 제한된 위임장을 가진 이사회 또는 위원회.
- 거버넌스 프로세스: 토큰 보유자 투표 또는 사회적 조정.

B. 확률적 의사결정 지원 모델

저자들은 기대 비용을 최소화하기 위해 설계를 확률적 최적화 문제로 공식화합니다:
$\text{ExpectedCost}(m) = \text{CentralizationCost}(m) + \sum_{h \in H} \Pr[h] \cdot (\text{Time}(m) \cdot \text{DamageRate}(h) + \text{BlastRate}(m))$

CentralizationCost: 단순히 능력을 보유함으로써 발생하는 "신용세" (상설 비용).
Time(m): 억제 속도 (악용 중단 지연 시간).
BlastRate(m): 개입 범위로 인한 담보 방해 정도.
DamageRate(h): 특정 악용 유형 $h$ 에 대한 손실 발생률.

C. 실증 분석

데이터셋: 2016~2026 년에 문서화된 705 건의 악용 사건.
층화: 저자들은 "시스템적 실패" (예: 테라) 와 "해결 불가" 사건 (예: 러그 풀) 을 제외하고, 601 건의 개입 자격이 있는 기술적 악용에 집중합니다.
고충실도 하위 집합: 상세한 성능 분석을 위해 검증된 타이밍, 권한 유형, 범위, 결과를 갖춘 52 건의 사례로 구성된 큐레이션 세트.
감성 분석: VADER 를 사용하여 거버넌스 포럼 및 소셜 미디어 토론을 자동 분석하여 중앙화 비용의 수정자로서 커뮤니티 감정을 정량화합니다.

3. 주요 기여

통합 설계 공간: 범위 × 권한 분류법은 이질적인 비상 메커니즘을 구조화된 프레임워크로 조직화하여 체계적인 비교를 가능하게 합니다.
정량적 프레임워크: 비상 거버넌스를 이념적 논쟁이 아닌 공학적 트레이드오프 문제로 취급하는 확률적 모델로, "상설 중앙화 비용" 개념을 도입합니다.
실증적 검증: 705 건의 사건을 분석하여 억제 속도, 성공률, 손실 분포에 대한 데이터 기반 통찰을 제공합니다.
의사결정 지원 도구: 위험 프로파일과 커뮤니티 감정에 기반하여 설계자가 메커니즘을 보정할 수 있도록 돕는 오픈 소스 개입 메커니즘 계산기 개발.

4. 주요 결과 및 발견

A. 속도 - 중앙화 트레이드오프 (예측 1)

억제 시간은 권한 유형에 따라 체계적으로 변하여 모델의 트레이드오프를 검증합니다:

서명자 세트: 가장 빠름 (중앙값 약 30 분). 사건 발생량 (사례의 73%) 을 지배하지만, 숙의 부족으로 인해 억제 성공률 (38%) 은 낮습니다.
위임된 기구: 중간 속도 (60~90 분). 54.4% 의 성공률과 8 억 8 천만 달러 보호로 "최적 지점"을 달성합니다.
거버넌스 프로세스: 가장 느림 (수일에서 수주). 즉각적인 억제에는 느리지만, 사용된 소수의 사례 (주로 복잡한 복구 또는 네트워크 재구성, 예: 하드 포크) 에서 가장 높은 성공률 (87.8%) 을 달성합니다.

B. 손실 분포 (멱법칙)

악용 손실은 두꺼운 꼬리 분포 (파레토, $\alpha \approx 1.33$ ) 를 따릅니다.
해결 가능한 데이터셋의 누적 손실 약 80% 가 50 건 미만의 "초대형 해킹" 사건에 의해 주도됩니다.
시사점: 개입 능력은 드물고 치명적인 사건에 대해 가장 가치가 높습니다. 이러한 특정 고가치 표적에 대해서는 신속한 억제가 중요합니다.

C. 범위 vs. 효과성 (예측 2)

더 넓은 범위가 더 효과적이라는 직관과 달리, 더 좁은 개입 (계정/모듈) 은 더 넓은 개입 (프로토콜/네트워크) 만큼이나 잘 수행하거나 더 나은 성과를 냅니다.
데이터: 계정/모듈 개입은 프로토콜/네트워크 개입에 비해 더 높은 중앙값 억제 성공률 (25.8% 대 10.0%) 과 약간 더 빠른 중앙값 시간 (90 분 대 114 분) 을 보였습니다.
결론: 정밀도는 억제 능력을 희생하지 않으며, 부수적 방해를 줄입니다.

D. 감정이 비용을 조절함 (예측 3)

커뮤니티 감정은 중앙화 비용에 승수 역할을 합니다.
긍정적 감정 (예: 복구 노력 지지) 은 오버라이드 능력 유지의 실효 비용을 줄입니다.
부정적 감정 (예: 관리자 권한에 대한 회의론) 은 비용을 증가시켜 프로토콜의 가치 또는 신뢰를 실질적으로 낮춥니다.

5. 중요성 및 설계 시사점

이 논문은 비상 거버넌스를 "탈중앙화 대 중앙화"라는 이분법적 이념적 선택에서 정량적 공학 문제로 재정의합니다.

도출된 주요 설계 원칙:

위임의 최적 지점: 프로토콜은 순수한 서명자 세트나 순수한 거버넌스보다 위임된 기구 (예: 비상 서브 DAO, 프로토콜 가디언) 를 선호해야 합니다. 이는 속도 (거버넌스보다 빠름) 와 정당성 (멀티시그보다 낮은 중앙화 비용) 을 균형 있게 조율합니다.
정밀 계측: 설계자들은 "핵 옵션" (전체 체인 정지) 에 의존하기보다 세분화된 제어 (모듈 수준 일시 중단, 계정 수준 동결) 에 투자해야 합니다.
문화 승수: 메커니즘 선택은 프로토콜의 커뮤니티 문화에 맞게 보정되어야 합니다. 무허가 체인은 규제/준수 중심 체인보다 개입에 대한 평판 비용이 더 높습니다.
일몰 조항: 비상 권한은 "고착화"와 무기한 중앙화를 방지하기 위해 조건부 일몰 (예: 공식 검증 또는 버그 바운티 기간 후 만료) 을 가져야 합니다.
하이브리드 접근법: 가장 효과적인 대응은 종종 계층을 결합합니다 (예: 위임된 기구가 즉각적인 동결을 수행한 후, 복구/재분배를 승인하기 위해 거버넌스 투표를 진행).

결론

이 논문은 탈중앙화 시스템에서 비상 메커니즘을 설계하기 위한 최초의 엄격하고 데이터에 기반한 프레임워크를 제공합니다. 속도, 정밀도, 정당성 간의 트레이드오프를 정량화함으로써, 프로토콜이 탈중앙화의 핵심 신뢰 속성을 희생하지 않고도 사용자를 악용으로부터 보호할 수 있는 길을 제시합니다. 저자들은 "불변성 역설"이 범위 - 권한 매칭을 통해 해결 가능하다고 결론지었습니다. 즉, 즉각적인 억제를 위해서는 빠르고 집중된 권한을, 복잡한 복구와 상태 수정을 위해서는 느리고 분산된 권한을 사용하는 것입니다.