LIP-34 CircuitBreaker: GateSeals 대체 영구 긴급정지 메커니즘 + CMC 스냅샷 D+4
핵심 요약
- HIGH LIP-34 CircuitBreaker 제안 -- GateSeals의 단발성·만료 한계를 해결하는 영구 긴급정지 레이어.
azat_s가 2026-04-09 Lido 연구 포럼에 CircuitBreaker 제안을 공개했다. 기존 GateSeals는 최대 1년 만료, 1회 사용 후 폐기, DAO 재투표를 통한 재배포라는 구조적 한계를 지닌다. LIP-34는 단일 영구 컨트랙트로 이를 대체하며, 위원회(committee)가 정기적인 heartbeat 트랜잭션으로 자체 권한을 갱신할 수 있어 DAO 재투표 없이 지속 운영된다. 현재 외부 감사 진행 중이며 2026년 6월 온체인 투표를 목표로 한다.
- HIGH 기술 메커니즘: heartbeat + 일회성 권한 소진 설계 -- 보안과 지속성의 균형.
CircuitBreaker가 트리거되면 "호출자 검증 → 대상 컨트랙트 일시정지 → 해당 컨트랙트에 대한 위원회 권한 소진"의 순서로 동작한다. 일시정지 권한은 컨트랙트별로 소진되므로 위원회는 다른 할당 컨트랙트에 대해선 권한을 유지한다. DAO Agent가 권한을 재할당하거나 교체할 수 있다. Heartbeat 인터벌은 365일(범위: 30일~3년), 일시정지 기간은 21일(범위: 5~60일)로 메인넷 파라미터가 설정되어 있다.
- HIGH 적용 대상 컨트랙트 9종 -- stVaults 핵심 인프라 포함.
CircuitBreaker는 WithdrawalQueue, ValidatorsExitBusOracle, TriggerableWithdrawalsGateway, VaultHub, PredepositGuarantee, CSModule, CSAccounting, CSFeeOracle, CSVerifier, VettedGate, CSEjector를 포함한다. stVaults 생태계의 VaultHub와 PredepositGuarantee가 새롭게 포함된 것은 V3 아키텍처의 보안 레이어 성숙화를 의미한다.
- MEDIUM CMC 스냅샷 투표 D+4 -- 4/13 마감까지 3일 잔여, 대기 오퍼레이터 4사 영향.
CMC 전환 스냅샷 투표가 D+4(오늘)로 진입했다. 4/13 16:00 GMT 마감까지 3일 남았다. 투표 통과 시 Flow Traders, Nuxian Labs, SenseiNode, Luganodes 4사의 RERC 절차가 재가동된다.
- MEDIUM SecureRPC EasyTrack·LDO 바이백 현황 -- 변동 없음, 추적 지속.
SecureRPC EasyTrack 모션은 온체인 처리 진행 중이며 확정 공지는 없다. LDO 바이백은 $20M 수동 집행이 진행 중이고 $50M 자동화는 Q2 2026 목표다. stVaults 0% 인프라 수수료 연장 여부는 공식 공지 미확인 상태 (추가 검증 필요).
상세 분석
1. GateSeals의 구조적 한계
GateSeals는 Lido의 현행 긴급정지(emergency brake) 메커니즘으로, 특정 위원회가 거버넌스 투표 없이 스마트 컨트랙트를 즉시 일시정지할 수 있는 패닉 버튼 역할을 한다. WithdrawalQueue와 ValidatorExitBus 등 핵심 컨트랙트를 대상으로 동작한다.
GitHub 레포지토리와 Lido 공식 문서에 따르면 GateSeals의 핵심 한계는 다음과 같다.
| 한계 | 내용 |
|---|---|
| 1회 사용 후 폐기 | 트리거 즉시 영구 무효화됨 |
| 최대 1년 만료 | 미사용이어도 시간 경과 시 무효화 |
| 재배포 필요 | 만료 전 DAO가 새 GateSeal 배포해야 함 |
| 최대 14일 일시정지 | 대응 가능한 긴급 상황의 범위 제한 |
이 설계는 의도적인 "inconvenience bomb"으로, 위원회의 영구적 긴급 통제 의존을 방지하는 목적이 있었다. 그러나 운영 현실에서는 정기적인 DAO 재배포 투표와 위원회 재구성 부담이 적지 않은 오버헤드를 발생시켰다.
2. CircuitBreaker (LIP-34): 기술 메커니즘
2-1. 핵심 아키텍처
CircuitBreaker 제안은 단일 영구 컨트랙트 모델을 채택한다. DAO Agent가 관리 주체이며, 일시정지 가능한 컨트랙트와 담당 위원회를 매핑 형태로 등록한다. 컨트랙트 자체의 불변성(immutable bounds)이 일시정지 기간과 heartbeat 인터벌의 최소·최대값을 고정한다.
메인넷 파라미터:
| 파라미터 | 기본값 | 허용 범위 |
|---|---|---|
| 일시정지 기간 | 21일 | 5~60일 |
| Heartbeat 인터벌 | 365일 | 30일~3년 |
| 관리자 | Lido DAO Agent | - |
2-2. Pause 로직 (트리거 시 동작)
- 호출자가 해당 컨트랙트에 대한 일시정지 권한을 보유한 위원회임을 검증
- 대상 컨트랙트를 21일간 일시정지
- 해당 컨트랙트에 대한 위원회 권한을 소진(clear)
- 위원회는 다른 할당 컨트랙트에 대한 권한은 유지
- DAO Agent가 필요 시 위원회 권한 재할당 또는 위원회 교체
2-3. Heartbeat 메커니즘
위원회는 heartbeat 인터벌(기본 365일) 이내에 "drill 트랜잭션"을 전송해 운영 생존성을 증명해야 한다. 단일 heartbeat가 위원회에 할당된 모든 컨트랙트에 대한 유효성을 동시에 갱신한다. Heartbeat 미전송으로 인터벌이 만료된 위원회는 일시정지 권한도, 갱신 권한도 상실하며, DAO가 해당 위원회를 교체해야 한다.
이는 GateSeals의 DAO 재투표를 통한 재배포와 비교했을 때 운영 오버헤드를 크게 감소시키는 동시에, 위원회가 장기간 비활성 상태로 유지되는 것을 방지하는 구조다.
3. GateSeals vs CircuitBreaker 비교
| 특성 | GateSeals | CircuitBreaker (LIP-34) |
|---|---|---|
| 수명 | 최대 1년 (만료) | 영구 |
| 재배포 | 만료 전 DAO 재배포 필수 | 불필요 |
| 권한 갱신 | DAO 투표 | Heartbeat 트랜잭션 |
| 사용 횟수 | 1회 (트리거 후 폐기) | 컨트랙트별 반복 가능 |
| 최대 일시정지 | 14일 | 최대 60일 (기본 21일) |
| 적용 범위 | 기존 핵심 컨트랙트 | stVaults 컨트랙트 추가 포함 |
| 감사 상태 | 완료 | 외부 감사 진행 중 |
4. 적용 대상 컨트랙트 (9종+)
CircuitBreaker는 다음 컨트랙트에 적용된다:
기존 인프라:
- WithdrawalQueue
- ValidatorsExitBusOracle
- TriggerableWithdrawalsGateway
stVaults V3 신규:
- VaultHub
- PredepositGuarantee
CSM (Community Staking Module):
- CSModule, CSAccounting, CSFeeOracle, CSVerifier, VettedGate, CSEjector
VaultHub와 PredepositGuarantee의 포함은 stVaults 생태계가 프로토콜 수준의 긴급정지 보호망 안에 편입됨을 의미한다. 이는 stVault 운영 오퍼레이터의 자산 보호 레이어가 강화되는 것으로 해석할 수 있다.
5. 거버넌스 타임라인
| 시기 | 이벤트 |
|---|---|
| 2026년 4월 (현재) | LIP-34 리뷰, 외부 감사 개시 |
| 2026년 5월 | 스냅샷 투표, 온체인 투표 준비 |
| 2026년 6월 | 전체 GateSeal → CircuitBreaker 마이그레이션 온체인 투표 |
소스: GitHub lidofinance/circuit-breaker
6. CMC 스냅샷 D+4 현황
| 항목 | 상태 |
|---|---|
| 투표 개시 | 2026-04-06 |
| 투표 마감 | 2026-04-13 16:00 GMT |
| 현재 (D+4) | 3일 잔여 |
| 위원회 구성 확인 | 7/9 확인 (코어 기여자 4 + LNOSG 전환 3) |
| 나머지 2인 | 미확인 (추가 검증 필요) |
투표 통과 후 파생 이벤트:
| 오퍼레이터 | 대기 일수 (D+4 기준) | 유형 |
|---|---|---|
| Flow Traders | D+10 | stVault Professional Trusted Operator |
| Nuxian Labs | D+21 | stVault 전문 오퍼레이터 |
| SenseiNode | D+30 | 전문 오퍼레이터 |
| Luganodes | D+36 | 전문 오퍼레이터 |
시사점
리서처 관점
CircuitBreaker(LIP-34)는 Lido 보안 아키텍처의 실질적 진화다. GateSeals가 "의도적 불편함"을 통해 위원회 의존을 억제하는 설계였다면, CircuitBreaker는 그 의도를 heartbeat 메커니즘으로 흡수하면서 운영 연속성을 확보한다. 아티클 소재로 "Lido 보안 레이어 진화: GateSeals에서 CircuitBreaker로 — 영구 긴급정지의 설계 철학" 관점이 유효하다.
stVaults V3 컨트랙트(VaultHub, PredepositGuarantee)가 CircuitBreaker 범위에 포함된다는 점은 Lido V3 생태계 보안 성숙도 측면에서 주목할 만한 서사다.
Curated Operator 관점
stVaults 보안 레이어 강화의 직접 수혜. VaultHub와 PredepositGuarantee가 CircuitBreaker 적용 대상에 포함됨으로써, stVault 운영 오퍼레이터는 비상 상황 시 프로토콜 수준의 긴급정지 보호를 받는다. 이는 stVaults 환경의 리스크 관리 체계가 기존 Curated Set 수준으로 성숙함을 의미한다.
운영 연속성 예측 가능성 향상. GateSeals 만료로 인한 갑작스러운 보호막 소멸 위험이 제거된다. Curated Operator가 비상 브레이크 메커니즘의 유효성을 일정하게 전제하고 인프라를 설계할 수 있게 된다.
CSM 오퍼레이터와의 동등한 보호. CSModule, CSAccounting 등 CSM 관련 컨트랙트가 포함됨으로써, CSM 기반 운영과 Curated 운영 모두 동일한 긴급정지 레이어 아래 놓이게 된다. 혼합 운영 오퍼레이터에게 일관된 리스크 관리 체계가 제공된다.
감사 완료 전 가동 불가 — 6월 이전 전환 없음. 현재 외부 감사 중으로, 5월 스냅샷 투표 → 6월 온체인 투표 타임라인을 고려하면 실제 GateSeal 교체는 최소 2~3개월 후다. 현재 운영 중인 오퍼레이터는 그 이전까지 기존 GateSeals 체계 하에서 운영된다는 점을 인지해야 한다.
후속 추적 필요 사항
- [ ] CircuitBreaker 외부 감사 결과 발표 확인 (2026년 5월 예상)
- [ ] LIP-34 스냅샷 투표 공지 및 결과 추적 (2026년 5월 예상)
- [ ] CMC 스냅샷 투표 결과 확인 (2026-04-13 16:00 GMT 마감)
- [ ] CMC 발족 후 Flow Traders / Nuxian Labs / SenseiNode / Luganodes RERC 절차 개시 시점 확인
- [ ] SecureRPC EasyTrack 모션 온체인 처리 완료 확인
- [ ] stVaults 0% 인프라 수수료 연장 공식 공지 확인 (추가 검증 필요)
- [ ] LDO 바이백 $20M 수동 집행 진행 상황 + $50M 자동화 Q2 2026 일정 확인
- [ ] GateSeal 현행 만료 일정 확인 — CircuitBreaker 마이그레이션 전 공백 위험 여부
참고 자료
- CircuitBreaker — Programmable panic layer - azat_s의 LIP-34 제안 (2026-04-09), GateSeals 대체 영구 긴급정지 메커니즘
- lidofinance/circuit-breaker - CircuitBreaker 소스코드 및 LIP-34 스펙
- lidofinance/gate-seals - 기존 GateSeals 구현 및 한계 상세
- Emergency Brakes | Lido Docs - 현행 긴급정지 메커니즘 공식 문서
- Proposal: Transition the LNOSG into the CMC - CMC 스냅샷 투표 (4/13 마감)