Lido ZKsync wstETH 브릿지 보안 취약점 공개 -- ACDT #73 3대 데브넷 동시 점검 -- Phase 3 후속 + Privacy Pool

핵심 요약

• HIGH Lido ZKsync wstETH 브릿지 보안 취약점 공개 -- 입금 일시 중단, 긴급 멀티시그 발동.

Lido가 ZKsync wstETH 브릿지 엔드포인트 컨트랙트에서 "potential weakness"를 공개하고, 긴급 멀티시그(Emergency Brakes)를 발동하여 ZKsync 신규 입금을 일시 중단했다. 현재까지 실제 악용(exploit) 징후는 발견되지 않았으며, 기존 wstETH 홀더와 출금 기능은 영향 없다. 수정안은 준비 완료 상태이나, 감사(audit) 후 3월 말~4월 초 예정된 온체인 거버넌스 옴니버스 투표를 통해 배포될 예정이다. LDO 토큰은 공개 후 24시간 내 3.5% 하락했다.

• MEDIUM ACDT #73 의제 (3/9): blob-devnet-0 + BAL-devnet-2/3 + ePBS-devnet-0 동시 점검 -- Glamsterdam 인프라 다중 트랙 병렬 테스트.

ACDT #73(3/9)에서 Fusaka blob-devnet-0, Glamsterdam BAL-devnet-2/3, ePBS-devnet-0 세 트랙의 데브넷 업데이트가 동시에 논의된다. BAL-devnet-3과 ePBS-devnet-0은 3/4(오늘) 출격 목표이며, blob-devnet-0은 Lighthouse + Prysm 2개 클라이언트가 구현 완료 상태이다. 가스 리밋(eth/70)과 상태 팽창(perf-devnet-3) 업데이트도 포함된다.

• MEDIUM Lido V3 Phase 3 후속 -- 2026년 stVaults 1M ETH 목표 공식화, 0% 수수료 3/31 종료 임박.

Phase 3 라이브(3/2) 이후 Lido는 2026년 말까지 stVaults 생태계에서 1M ETH 스테이킹 달성을 핵심 정량 목표로 제시했다. 현재 Identified NO vault에 적용 중인 0% 인프라 수수료 프로모션은 3/31 종료 예정이며, 연장 여부가 아직 미확정이다. 종료 시 1%로 전환된다.

• LOW Protocol-Enshrined Privacy Pool 제안 -- ZK 증명 기반 프로토콜 내장 차폐 전송.

ethmagicians에 프로토콜 레벨 Privacy Pool EIP가 게시되었다. 시스템 컨트랙트를 통한 ETH/ERC-20 차폐 전송 + 출금 + 출처 증명(proof of innocence)을 제안한다. 현재 밸리데이터 트랜잭션 포함 의무에 직접적 변화는 없으나, 장기적으로 암호화 멤풀(EIP-8105)과 결합될 경우 블록 빌딩 패러다임에 영향을 미칠 수 있다.

상세 분석

1. [핵심] Lido ZKsync wstETH 브릿지 보안 취약점 공개

1-1. 사건 개요

Lido Finance 공식 트윗(3/3)에서 ZKsync wstETH 브릿지 엔드포인트 컨트랙트의 보안 취약점을 공개했다:

1-2. Emergency Brakes 멀티시그 메커니즘

Lido Docs에 따르면, Lido는 L2 브릿지에 대한 긴급 멀티시그를 보유하고 있으며, 이를 통해 전체 거버넌스 투표를 기다리지 않고 즉각적으로 입금 또는 출금 또는 양쪽 모두를 비활성화할 수 있다. 이번 사례에서는 입금만 중단하고 출금은 유지하는 선별적 대응을 실행했다.

이 메커니즘의 존재는 Lido V3 stVaults 체계에서 보안 사고 시 DAO 거버넌스 지연 없이 신속 대응이 가능함을 실증한 사례이다. 다만, 수정안 배포 자체는 온체인 거버넌스를 거쳐야 하므로 약 3~4주의 시간 소요가 불가피하다.

1-3. 시장 반응

Cryptopolitan, BitcoinEthereumNews 보도에 따르면:

시장 반응은 비교적 절제되었으며, 이는 악용 징후 부재 + 출금 정상 운영 + 수정안 준비 완료라는 세 가지 완화 요소 덕분으로 해석된다.

1-4. Operator 관점: 브릿지 보안 리스크 평가

이번 사건은 L2 브릿지 보안이 Lido 생태계 전체의 신뢰성에 직접 영향을 미친다는 점을 상기시킨다. stVaults Operator로서 고려해야 할 점:

• 직접 영향: L1 스테이킹 운영(밸리데이터 + stVault)에는 직접 영향 없음. ZKsync L2 브릿지 레이어의 국소적 이슈
• 간접 영향: Lido 브랜드 신뢰도 일시적 영향. wstETH DeFi 활용도가 높은 ZKsync 생태계에서 유동성 위축 가능
• 교훈: 멀티시그 기반 긴급 대응 체계의 유효성 실증. 향후 stVault 운영 시 L2 확장 브릿지 의존도 관리 필요

2. [인프라] ACDT #73 의제: 3대 데브넷 동시 점검

2-1. ACDT #73 전체 의제 (2026-03-09)

ethmagicians에 게시된 ACDT #73 의제:

2-2. 3/4 출격 데브넷 상세

BAL-devnet-3 (ethpandaops spec):

ePBS-devnet-0 (ethpandaops spec):

blob-devnet-0 (Fusaka):

2-3. 밸리데이터 인프라 시사점

3대 데브넷이 동시에 테스트 단계에 진입하면서, Glamsterdam 출시 일정(mid-2026)에 대한 신뢰도가 높아지고 있다:

• ePBS-devnet-0: self-built payloads만 테스트하므로, 아직 외부 빌더 마켓 테스트는 후속 devnet으로 미뤄진다. Operator는 현재 MEV-Boost 인프라를 즉각 변경할 필요 없음
• BAL-devnet-3: 100M 가스 리밋 환경에서 병렬 처리 최적화 토글 테스트는 향후 노드 운영 시 하드웨어 멀티코어 활용도를 평가하는 데 중요한 데이터를 제공할 것
• blob-devnet-0: Fusaka 트랙의 PeerDAS 테스트는 밸리데이터의 데이터 가용성 샘플링 역할 확대를 예고한다

3. [참고] Lido V3 Phase 3 후속: 1M ETH 목표와 0% 수수료 종료

3-1. 2026년 정량 목표

CryptoWisser, Lido Blog 등 보도에 따르면, Lido V3의 핵심 정량 목표:

1M ETH 목표는 현재 Curated Set 규모(약 9.5M ETH, 전체 Lido TVL의 일부)와 비교하면 야심적이나, stVaults가 Curated Set의 보완재로 포지셔닝되어 있음을 감안하면 달성 가능한 수준이다.

3-2. 0% 수수료 프로모션 종료 카운트다운

Operator 입장에서 3/31까지 0% 수수료를 활용한 stVault 세팅이 최적이나, 연장 미확정 시 4/1부터 1% 적용에 대비한 수익 모델 수정이 필요하다.

4. [참고] Protocol-Enshrined Privacy Pool

4-1. 제안 개요

ethmagicians에 게시된 이 제안의 핵심 구조:

4-2. 밸리데이터 영향 평가

현재 제안에서는 밸리데이터나 블록 빌더에게 트랜잭션 포함/정렬에 대한 명시적 추가 의무가 없다. 그러나 장기적 관점에서:

• FOCIL + Privacy Pool 결합: inclusion list에 차폐 트랜잭션이 포함될 경우, attestor의 검증 부담 변화 가능
• 암호화 멤풀(EIP-8105) 시너지: Privacy Pool의 ZK 증명 + 암호화 멤풀이 결합되면, MEV 추출이 구조적으로 불가능한 환경으로 전환
• 상태 성장: 트랜잭션당 4개 영구 슬롯은 상태 팽창(state bloat)에 기여하며, 이는 EIP-7864 Binary State Trees의 필요성을 강화

5. EIP 업그레이드 현황: 14일 연속 무변동

신규 EIP/ERC:

• EIP-XXXX Protocol-Enshrined Privacy Pool: 아직 번호 미배정, ethmagicians 논의 시작
• EIP-8178: SSZ rest for Engine API (EIP-8177 관련)
• EIP-8135: Move to Review
• EIP-8134: Move to Review

FCR #004 (Fusaka Client Requirements Breakout, 3/3): 신규 콜 타입 등장 -- Fusaka 클라이언트 요건 논의

프로토콜 콜 현황:

전일 대비 변경 사항 (2026-03-03 -> 2026-03-04)

Operator 시사점

최고 시급

1. Lido ZKsync 브릿지 보안 사건 모니터링

   • 즉시 확인: stVault가 ZKsync에 wstETH 유동성을 의존하고 있다면, 입금 중단 기간(3~4주) 동안의 대체 경로 확보
   • 수정안 투표: 3월 말~4월 초 옴니버스 투표에서 수정안 포함 여부 추적. 거버넌스 참여 시 찬성 투표 권장
   • 리스크 평가: 이번 사건은 L2 브릿지 의존성 리스크를 환기. stVault 운영 시 L2 확장 전략에서 단일 브릿지 의존도를 낮추는 구조적 분산 검토
   • 신뢰 관리: Curated operator 지원 시 보안 대응 역량(모니터링, 긴급 대응 절차)을 어필 포인트로 활용 가능

2. BAL-devnet-3 + ePBS-devnet-0 출격 결과 추적

   • 오늘(3/4) 동시 출격하는 두 데브넷의 초기 안정성 + 클라이언트 인터롭 결과가 Glamsterdam 일정에 직접 영향
   • ePBS-devnet-0에서 self-built payloads 테스트 성공 시, devnet-1에서 외부 빌더 테스트로 진행 예정
   • ACDT #73(3/9)에서 종합 점검 -- 여기서의 결과가 ACDE #232(3/12) 논의의 기반 데이터

전략적 (중기)

1. 0% 인프라 수수료 종료 대비 (D-27)

   • 3/31 프로모션 종료 시 1% 인프라 수수료 적용. 250 ETH+ Identified vault 운영 시 연간 비용 증가분 산출 필요
   • 예: 10,000 ETH vault, 3.5% APR 기준 -> 연간 인프라 수수료 약 3.5 ETH (1% x 350 ETH yield basis)
   • 연장 가능성이 공식 언급되었으나 미확정. 3월 중 거버넌스 논의 동향 모니터링 필요

2. Glamsterdam mid-2026 데브넷 진행 추적

   • BAL-devnet-3(100M gas, 병렬 처리)과 ePBS-devnet-0(CL 인터롭)이 동시 테스트에 돌입하면서, H1 2026 내 Glamsterdam 정식 테스트넷 출시 가능성이 구체화
   • 클라이언트 업데이트 시점: ePBS CL 클라이언트 중 Lodestar/Lighthouse 완료, Prysm/Teku/Nimbus 개발 중. 운영 중인 클라이언트의 ePBS 지원 일정 확인

3. EIP-8141 Headliner Breakout (3/5) + ACDC #176 (3/5) 대비

   • 내일 두 콜에서 Hegota EL 헤드라이너 방향 + CL 의제가 동시에 논의됨
   • EIP-8141(Vitalik 지지) vs LUCID vs EIP-8175 vs No Headliner 결정에 중요한 분기점
   • AA 지원이 stVault의 smart account 키 관리에 직접 영향하므로 결과 밀착 추적

리서치 기회

1. "Lido 브릿지 보안 거버넌스: Emergency Brakes에서 온체인 수정까지" (시의성 + 정보공백) 이번 ZKsync 사건을 통해 Lido의 L2 브릿지 보안 대응 체계(멀티시그 긴급 대응 -> 감사 -> 거버넌스 투표 -> 배포)를 분석하면, 기관투자자가 DeFi 프로토콜의 보안 거버넌스 성숙도를 평가하는 프레임워크를 제공할 수 있다.

2. "Glamsterdam 데브넷 진행률 분석: BAL + ePBS + blob 3트랙 동시 테스트의 의미" (차별화) 3대 데브넷 동시 출격은 이더리움 역사상 가장 복잡한 병렬 테스트 단계이다. 각 트랙의 클라이언트 구현 현황, 데브넷 사양, 테스트 범위를 정량 비교하면 Glamsterdam 출시 일정 예측에 유니크한 데이터 포인트를 제공한다.

후속 추적 필요 사항

• [ ] Lido ZKsync 수정안 투표: 3월 말~4월 초 옴니버스 투표에서 수정안 배포 -- 최고 시급
• [ ] BAL-devnet-3 출격 결과 (3/4): 100M gas, 병렬 처리 토글, EIP-8037 -- 시급
• [ ] ePBS-devnet-0 출격 결과 (3/4): self-built payloads, CL 인터롭 -- 시급
• [ ] EIP-8141 Headliner Breakout (3/5): Frame Transaction 상세 논의 -- D+1
• [ ] ACDC #176 (3/5): Hegota CL + Glamsterdam CL -- D+1
• [ ] ACDT #73 (3/9): blob/BAL/ePBS 3대 데브넷 종합 점검 -- D+5
• [ ] RPC #22 (3/9): 버전 모델 확정, 에러 코드 -- D+5
• [ ] ACDE #232 (3/12): Glam + Hegota, 데브넷 결과 기반 논의 -- D+8
• [ ] 0% 인프라 수수료 연장 여부: 3/31 종료 예정, 연장 미확정 -- D-27 카운트다운
• [ ] Lido stVaults Phase 3 후속: 초기 vault 생성 동향, Default Tier 참여 규모 -- 시급
• [ ] blob-devnet-0 클라이언트 확장: Lodestar, Grandine 합류 일정 -- 중기
• [ ] Protocol-Enshrined Privacy Pool: 정식 EIP 번호 배정 + 포크 포함 논의 -- 장기
• [ ] Hegota EL Breakout: EIP-8141 vs LUCID vs EIP-8175 vs No Headliner -- 시급
• [ ] Lido LDO 바이백 투표: Q1 2026 내 거버넌스 투표 -- 이월
• [ ] DVT 클러스터 포럼 투표/피드백: Nethermind+SP+CS+Develp -- 이월
• [ ] EF 70K ETH 후속 입금: Entry Queue 영향 -- 이월
• [ ] Obol vs SSV 기술 비교: DVT 솔루션 선택 기준 -- 이월
• [ ] libp2p Shipyard 지원 종료 (2026-09-30): 대체 유지보수 확보 -- 이월
• [ ] EIP-7864 Binary State Trees: 상태 마이그레이션 구체 계획 -- 장기
• [ ] RISC-V VM 전환: Phase 1 프리컴파일 교체 타임라인 -- 장기
• [ ] Big FOCIL + 암호화 멤풀: 연구 진행 상황 -- 장기

출처

1. Lido: ZKsync wstETH bridge security disclosure -- "potential weakness reported, no indication of exploitation" (2026-03-03)
2. Cryptopolitan: Lido pauses deposits due to ZKsync wstETH bridge flaw -- 입금 중단, 수정안 감사 중, 옴니버스 투표 배포 (2026-03-03)
3. BitcoinEthereumNews: Lido ZKsync wstETH bridge security -- LDO -3.5%, ZK -3.1%, Emergency Brakes 발동 (2026-03-03)
4. Lido Docs: Emergency Brakes -- 멀티시그 긴급 대응 메커니즘 상세
5. ACDT #73 의제 -- blob/BAL/ePBS 3대 데브넷, eth/70, perf-devnet-3 (2026-03-09)
6. epbs-devnet-0 spec -- 3/4 출격, EIP-7732, self-built payloads, v1.7.0-alpha.2
7. bal-devnet-3 spec -- 3/4 출격, 100M gas, EIP-8037 cost=1174, 9 EIPs
8. Phemex: Ethereum developers advance testnets -- blob-devnet-0 (Lighthouse+Prysm), BAL-devnet-3, ePBS-devnet-0 동시 출격
9. EIP-XXXX: Protocol-Enshrined Privacy Pool -- ZK 증명 기반 차폐 전송, proof of innocence (2026-03-03)
10. CryptoWisser: Lido V3 Phase 3 is now live -- 1M ETH 목표, 0% 수수료 프로모션 (2026-03-02)
11. Lido Blog: V3 Live -- 모듈러 스테이킹 인프라 비전
12. ACDE #232 의제 -- Glam + Hegota, 2026-03-12
13. Headliner Breakout: EIP-8141 -- 2026-03-05 15:30 UTC
14. Vitalik: Block Building Pipeline -- ePBS -> FOCIL -> Big FOCIL + 암호화 멤풀 (2026-03-02, 전일 참조)
15. Lido Governance: Risk Assessment Framework -- 5티어, Reserve Ratio, 수수료 (전일 참조)