이더리움 재단이 L1 zkEVM 도입을 위한 보안 로드맵을 공개했습니다.

- 현재 zkVM의 기술은 이더리움 블록을 실시간으로 증명할 수 있는 충분한 성능을 거의 갖춤.
- 그러나 아직까지 보안의 수준은 만족되지 않았으며, 128비트 수준의 보안을 만족해야함.

- 마일스톤 1: 2026년 2월까지 모든 zkEVM팀이 보안을 계산해주는 도구인 soundcalc를 통합
- 마일스톤 2: 2026년 5월까지 100비트 수준의 보안을 달성
- 마일스톤 3: 2026년 말까지 128비트 수준의 보안 달성 -> 메인넷 도입급의 zkEVM 보안 수준

이제 zkEVM의 성능뿐만 아니라 보안 수준을 높이는 것이 2026년의 과제인 것 같네요.

링크

하이퍼리퀴드 밸리데이터 실행파일 hl-visor 를 역공학 및 분석한 보고서. 코인충들이 예상하던 대로(?) 엄청나게 많은 중앙화 장치들이 발견됨

- 최종적인 트랜잭션은 8개의 화이트리스트된 주소 중 하나를 무조건 거쳐야 컨펌 가능. 해당 주소 목록은 어디에도 명시된 적 없음
- Clearinghouse에서 화이트리스트된 주소만 포지션 청산 가능
- Bridge validator set 은 거버넌스 정족수 2/3를 만족하면 1블록만에 변경 가능
- 체인 정지 가능 (글에는 unfreeze 가 없으므로 "영구적" 정지 라고 되어 있으나 그냥 하드포크해서 정지를 푸는 방식을 의도하고 기능추가 안했을듯)
- oracle_updater 단일 주소가 전체 거래소의 오라클을 조작 가능

원문은 매우 FUD스럽게 작성되긴 해서 오히려 반발심리가 들긴 하는데, 하여간 $HYPE 시가총액을 따져보면 슬슬 소스코드 공개하고 투명하게 운영할 필요는 있다고 생각함

https://blog.can.ac/2025/12/20/reverse-engineering-hyperliquid/

하리에서 해당 글에 대한 반박문을 올렸네요. 글의 주장과 하리쪽 주장을 비교해보면 대강 아래와 같습니다.

Q1) 아비트럼 브릿지 입금 USDC와 하리 내 USDC 사이에 $362M의 갭이 존재함. insolvent한거 아님?
A1) HyperEVM에 입금된 금액 계산 안했음.
=> 글쓴이도 인정하고 글 고쳤네요.

Q2) TestnetSetYesterdayUserVlm이라는 함수가 있는데, 말 그래도 전날의 거래량을 임의로 변경할 수 있는 기능임. 거래량 조작 가능한거 아님?
A2) 메인넷에서는 호출 안되는 기능임. 거래량은 온체인으로 누구나 검증 가능. 엣지케이스 테스트용이다.

Q3) 위 함수 기반으로 에어드랍 조작도 가능한거 아니냐
A3) 그런 메커니즘 없고 에드도 투명하게 분배됐다.

Q4) CoreWriter에 토큰 임의 발행 및 전송, 임의 밸리테이터 크래시 시킬 수 있는 God mode가 존재한다
A4) 그런 기능 없다. HyperCore가 HyperEVM과 상호작용하는 방식을 아예 잘못 이해한 것 같다.

Q5) unfreeze 없는 영구 동결 기능이 존재한다
A5) 하드포크때 쓰는 기능이다. 어차피 업그레이드하면 노드 바이너리 교체해야돼서 unfreeze 기능이 없는 것.
=> 원문의 주장이 다소 자극적으로 쓰여진 면은 있는데, 거버넌스에 의해 동결이 가능한건 맞긴하니 뭐..

Q6) 오라클이 단일 주소에 의해 조작 가능
A6) 글쓴이가 perp 오라클과 HIP-3 오라클을 착각한 것 같다. HIP-3 오라클은 말한대로 단일 배포자가 설정하는게 맞음. 하지만 하리측에서 이걸 EOA로 강제한 것은 아니며, 현재의 HIP-3 오라클들은 대부분 MPC와 CoreWriter의 조합을 통해 보호되고 있음. 밸리데이터 오라클의 경우 잘 알려진 것 과 같이 주요 CEX의 가중평균으로 계산되며, timelock이나 다른 Limit들이 없긴 하지만 이건 중앙화라기보다는 응급상황을 위한 피쳐에 가깝다.. 오라클은 미래에 더 탈중앙화될 예정

Q7) 8개의 비공개 주소가 모든 트랜잭션 제출을 통제하고 있다.
A7) 일부 트랜잭션들은 밸리데이터로부터 직접 보내지고 있음. 일부 거래는 아니지만, 이는 MEV 방지와 검열저항성을 위한 기능이다. 스팸 늘어나면 UX 대손해임.. 미래에는 멀티 프로포저 블록 빌딩 같은 메커니즘 도입해서 해소할 예정

Q8) 청산 과정에서 불공정 이득을 취하는 카르텔이 존재한다.
A8) 이 주소들은 HLP 서브볼트들임. HLP가 청산 과정에서 우위 권한을 갖고 있다는 점은 다른 퍼프덱스의 LP 볼트와 별반 다르지 않음. 그리고 HLP는 사용자 참여 기반의 퍼미션리스 볼트 아니냐..

Q9) 1M 이상이 공급된 숨겨진 대출 프로토콜이 존재한다. 독스에 존재하지 않음.
A9) 이거 얼마전에 발표된 포트폴리오 마진 기능임.. 깃북에 업데이트 됐다.

Q10) ModifyNonCirculatingSupply라는 함수가 토큰 공급량을 변경할 수 있음
A10) HYPE 토큰 공급량은 고정임. 표시 목적의 정보성 숫자만 변경시키는거고 상태값에 영향을 미치는 함수가 아니다.

Q2에서 언급된 함수가 굳이 지금 메인넷 노드에 있어야되는지 물음표인 것만 빼면 해명은 된 것 같네요. 원문이 좀 공격적으로 쓰여지기도 했지만 덕분에 저도 공부가 된 것 같습니다. 블로그 저격글에 빠르게 대응하는 모습도 인상적이네요.

특이하다고 생각된 점은 하리가 이번 해명문에서 Lighter와 Aster, 그리고 바이낸스 등을 예로 들며 이들의 시퀀서가 검증가능하지 않다고 주장한 점인데, 이렇게 다른 프로토콜들을 직접적으로 언급한 케이스는 좀처럼 못 본 것 같네요.

하리 해명문: https://x.com/HyperliquidX/status/2003045600657334570
저격글 원문: https://blog.can.ac/2025/12/20/reverse-engineering-hyperliquid/

예전에 Lumos라는 보안사고 대시보드 만들면서 조사했던 케이스 중 제일 특이했던 케이스가 멀티체인이었습니다.

멀티체인은 처음에는 일반적인 프라이빗키 탈취 공격처럼 보였어서 그냥 해킹사고 아니야? 하고 넘어갔었는데.. 알고보니 중국 공안에 의해 브릿지가 사실상 압류된 것이었죠.

23년 5월 21일 CEO Zhaojun이 공안에 잡혀간 뒤 브릿지는 Non-MPC 주소들로 운영하며 겨우 수명을 이어가고 있었는데, 7월 7일 MPC 주소에 묶여있던 126M어치의 토큰이 임의로 이동하면서 이게 "멀티체인 해킹"으로 알려지게 되었습니다. 로그 분석해보니 외부 IP에서 클라우드 서버로 접근해서 발생한 비정상적인 자산이동이었고, 사실상 공안이 압류했다는 말이 돌았죠. (MPC 노드가 Zhaojun 혼자만으로 모두 컨트롤 가능했다는 점 때문에 단일지점취약점 문제로 분류되기도 합니다.)

7월 9일에는 CEO의 여동생이 남은 자산을 이동시키고 프로젝트 팀에 알렸는데, 7월 10일 추가로 103M어치의 토큰이 비정상적으로 이동되었고, 7월 13일 CEO의 여동생도 마찬가지로 공안에 잡혀가 연락불가상태가 되었습니다.

여러모로 무서운 이야기

[프리즘 버그로 인한 샌드위치 어택]

이더리움의 지난 후사카 업그레이드는 완벽히 수행되지 못했습니다. 이더리움 합의 클라이언트인 프리즘에 버그가 있었기 때문입니다. 이로 인해, 프리즘을 사용하는 노드들은 거의 오프라인 상태가 되었으며, 이더리움 더 머지 이후 역사상 두 번째로 많은 ‘Missed slot’이 발생했죠. 이와 관련한 재미있는 리서치가 있어 공유드립니다.

이 프리즘 버그로 인해 발생했던 부작용이 있었습니다. 더 많은 유저들이 샌드위치 어택에 노출되었다는 것입니다.

일반적인 이더리움 클라이언트들은 네트워크 상황이 불안정하다고 판단하면, 자동으로 PBS 파이프라인에서 블록을 받는 것을 중단하고 퍼블릭 멤풀을 기반으로 자체적으로 블록을 만드는 로컬 블록 빌딩을 수행하는데, 이를 ’서킷 브레이커‘라고 합니다.

프리즘 버그로 인해 네트워크가 불안정해지니, 클라이언트들에서는 서킷 브레이커를 발동시켜 MEV-Boost를 쓰지 않고 로컬 블록 빌딩을 사용하게 되었고, MEV-Boost로 만든 블록의 개수가 현저히 줄어들게 되었습니다. 이렇게 되었을 때 문제는, 원래 프라이빗 멤풀을 쓰던 앱이나 월렛들이 트랜잭션 포함을 위해 퍼블릭 멤풀로 트랜잭션을 보내게 된다는 것입니다.

일반적으로 프라이빗 멤풀은 프론트러닝/샌드위치 공격을 제외한 백러닝 기회를 서처들에게 옥션으로 판매하고, 그 수익을 앱/월렛/사용자들에게 나눠주는 구조를 가지고 있습니다.

문제는 이번 버그로 인해 프라이빗 멤풀로 가던 오더플로우가 퍼블릭으로 공개되며, 트랜잭션들이 프론트러닝에 노출되었다는 것입니다. 대표적으로 메타마스크 스왑은, 이번 일로 잠시 동안 모든 트랜잭션이 퍼블릭 멤풀에 전송되었고, 총 3건의 샌드위치 공격이 발생했습니다. 다행히 변동성이 작아 피해액이 크진 않았다고 하네요.

이번 프리즘 버그에서의 문제는, 네트워크 불안정의 원인이 PBS가 아님에도 서킷 브레이커가 동작한 것이라는 점입니다. 만약 네트워크에 문제가 있을때 클라이언트가 자체적으로 문제의 원인에 대한 충분한 정보를 갖고 있다면 PBS 파이프라인을 중단할지 말지를 보다 잘 판단할 수 있다는 것입니다.

만약 글램스터담 업그레이드로 ePBS가 도입되면, 합의 클라이언트 내에서도 PTC 투표율을 통해 문제의 원인에 대한 판단이 가능해지기 때문에, 유저들이 공격을 당하는 상황이 덜 생기리라 생각되네요. ePBS에 대해 더 자세히 알고 싶으신 분들은 아래 글을 참조하시길 바랍니다(TG/Medium).

출처

AI 공부용 웹사이트

https://www.byhand.ai/

콜로라도대 교수님이 최근 시작한 세미나를 정리한 블로그입니다. (강의 녹화본 포함)

AI 근간에 대해 다루는 Foundation 세션, 그리고 최신 AI 논문에 대해 다루는 Frontier 세션으로 나뉘어 있어서 어느정도 기본지식이 있으신 분들은 팔로업하기 좋아보입니다.

라이브세션을 올해부터 매주 진행할 예정이라고 하는데, 한국 시간으로 금요일 새벽 3시라 매번 듣기는 좀 어려울 것 같네요.

참고 트윗: https://x.com/ProfTomYeh/status/2007838010415489040?s=20

ㅋㅋ 제 피드랑 상태가 비슷하네요. 제 피드는 지금..

1. 클로드 코드로 바이브코딩
2. AI 아카데믹 (주로 RLM)
3. 특이점이 왔다
4. x402
5. Infinex ICO 별로인 이유 N개
6. 넥스트 라이터 찾기
7. 마두로 트럼프 밈
8. 신년맞이 아티클
9. 프라이버시 붐은 온다
..

요 Umbra 글로 처음 봤는데 optimist라는 알파 리서치 그룹이 있었네요. 아직 글이 별로 없고, 리서쳐들 관심분야가 산개되어있어서 다양하게 올라올 것 같긴 합니다. 앞으로 어떤거 올리는지 지켜볼 예정

https://x.com/optimist

왜 그럴까요? 저는 그 이유가 "문제 해결(Solution)" 능력은 과잉 공급된 반면, "문제 정의(Problem Definition)" 능력은 여전히 희소하기 때문이라고 생각합니다.

현재의 AI는 인류 역사상 가장 뛰어난 '문제 해결사'입니다. 하지만 치명적인 약점이 있죠. 질문을 던져주지 않으면 답을 내지 못한다는 것입니다. AI는 세상의 불편함을 스스로 감지하거나, "이게 왜 문제지?"라고 의문을 품는 능력이 없습니다. 이건 아직, 그리고 어쩌면 영원히 인간의 영역입니다.

우리가 기억하는 위대한 창업가들을 떠올려 보면, 그들이 위대했던 건 코드를 빨리 짜서가 아닙니다. 남들이 "원래 그런거야"라고 넘기던 불편함을 집요하게 파고들어 "이건 해결해야 할 문제다"라고 정의했기 때문입니다.

아이러니하게도 이 '문제를 발견하는 눈'은 AI에게 프롬프트를 넣어서 배울 수 있는 게 아닙니다. 코딩은 AI가 대신해 줄 수 있어도, 무엇을 만들지 결정하는 '질문'은 오직 인간의 통찰과 경험에서 나옵니다.


지금 우리에게 필요한 건 툴을 더 잘 사용할 수 있는 꿀팁들이 아니라, 내 주변의 '진짜 문제'를 찾는 훈련이라고 생각합니다.

하루종일 바이브코딩 관련 글이 피드에 뜨고 있지만, 지금 진입하지 않으면 도태될 정도냐.. 하면 그건 아닌 것 같습니다. 언제나 그래왔듯 나보다 잘하는 누군가에게 돈주고 맡기면 훨씬 나은 결과를 얻을 수 있을 것이라고 생각하기 때문에.. 개인이 배워서 할 수 있는 정도 수준의 바이브코딩이라면 금전적 가치가 클 것 같지도 않습니다.

좀 더 글을 많이 읽고 생각하는 시간을 늘려야겠다는 생각이 드는 요즘입니다.

말은 이렇게 했지만 연말에 쉬는 3-4일 동안 블로그를 바닥부터 만들어서 거의 모든 기능을 구현할 수 있었습니다. 이런 소소한 놀이 정도로는 정말 좋은 것 같아요. 올해는 바이브코딩으로 CTF 풀기를 해보려고 합니다.

https://juhyuk.substack.com/p/perfection-through-imperfection

인스타그램의 아담 모세리가 AI 시대 authenticity의 복제에 대한 우려섞인 글을 낸 것에 대한 주혁님의 답글입니다.

저는 모두가 진정성의 위조나 복제에 대해 걱정하지만, 정작 진정성있는 무언가를 만들고자 노력하는 사람은 그리 많지 않다는 점을 지적하는 글로 해석했습니다. 짧게 읽기 좋으니 한번 읽어보세용

모두 자극적인 쇼츠 대신 애니를 봅시다.

중학교 교사분이 "요즘 성적 우수한 아이들의 특징은 애니메이션을 보거나 만화를 읽거나 게임을 하는 것"이라고 말씀하셔서 의아했는데, "성적이 나쁜 아이들은 계속 숏츠 영상만 본다"고 덧붙이시는 말씀을 듣고 깨달았다.

https://x.com/mogilongsleeper/status/1939598277831176506

https://blog.kianenigma.com/what-blockchain-actually/Content/What/Part-1-Prelude

누군가 블록체인이 뭐냐고 물었을때 던져줄만한 좋은 문서. (폴카닷 부분은 없어도 될듯하지만)

나스닥, 칸톤 밸리데이터 합류

https://x.com/CantonFdn/status/2008258861971763320?s=20

버츄얼에는 에이전트 출시 메커니즘을 세가지로 나누는 업데이트가 있었네요.

설명이 긴데 쉽게 말하자면 프로젝트 크기에 따라 페가수스 < 유니콘 < 타이탄 순으로 나뉩니다.

가장 낮은 수준의 페가수스는 팀 할당 없이 95%의 공급량이 유동성으로 들어가고 (나머지는 에어드랍), 팀도 시장에서 토큰을 직접 구매해야합니다. 본딩커브 기반으로 졸업하는 시스템

두번째 단계인 유니콘은 팀 할당 50%가 배정되는 대신 절반은 일정 목표를 달성해야 판매할 수 있도록 묶이는 시스템으로 보입니다. 나머지 절반은 알아서 하라는듯.. 프리세일이나 화리 없이 진행해야한다고 하네요.

가장 큰 수준인 타이탄은 이미 알려진 팀이 대규모 출시를 기획할 때 사용하는 모델로, 최소 50M이상 밸류로 출시되고 TGE 시 최소 500k USDC 상당의 VIRTUAL을 유동성으로 넣어야 합니다.

이전의 버츄얼 생각해보면 온갖 괴상한 토크노믹스 (사실상 의미도 없는) 들이 보였던 것 같은데, 어느정도 통제된 모습을 보여줄 것 같네요. 특히 저시총 모델인 페가수스는 팀 물량도 없으니 극초반에 잘 노려볼만도..

https://x.com/virtuals_io/status/2008208273808433518

* 방장 버츄얼 홀딩중입니다