리스크와 관리자 역할

Nami는 여러 블록체인에 걸쳐 스마트 컨트랙트, 유동성, 운영을 조율합니다.

이러한 아키텍처는 기술적, 운영적, 경제적 리스크를 수반하며, 각 구성 요소에 맞춘 통제 장치가 필요합니다. 프로토콜 보안은 코드 리뷰, 권한 분리, 멀티시그, 타임락, 트랜잭션 모니터링, 사고 대응 절차를 포함한 여러 계층으로 구성됩니다.

인적 및 운영 리스크

프로토콜 관리에 관여하는 사람들 또한 리스크 표면의 일부입니다.

키 유출, 트랜잭션 검증 중의 오류, 피싱 공격, 또는 일부 서명자의 부재는 프로토콜 보안이나 운영 연속성에 영향을 미칠 수 있습니다.

Nami는 멀티시그 구성, 키 관리, 트랜잭션 검증, 비상 대비를 위한 전용 절차를 통해 이러한 리스크를 제한합니다. 이 절차는 확립된 멀티시그 보안 관행을 프로토콜의 아키텍처와 리스크 프로필에 맞게 조정하여 따릅니다.

서명자 보호

민감한 관리 작업은 Safe 멀티시그로 보호되며, 여러 독립 서명자의 승인이 필요합니다. 필요한 정족수가 설정되어 있어 어떤 단일 서명자도 멀티시그가 통제하는 권한을 행사할 수 없습니다.

주요 조치는 다음과 같습니다:

• 키 보관 및 사용을 위한 하드웨어 지갑.
• 서명 작업 전용으로 사용되며 최신 상태로 유지되는 기기.
• 해당 하드웨어 지갑과 분리하여 오프라인으로 보관하는 시드 문구 실물 백업.
• DeFi, NFT 또는 개인 트랜잭션 없이 멀티시그 활동에만 사용하는 주소.
• 서명자 간의 지리적·운영적 분리.
• 서로 다른 제조사에서 생산한 서명 기기.
• 민감한 작업을 위한 종단 간 암호화 통신 채널.
• 피싱, 사회공학, 악성코드, 딥페이크, 사칭을 식별하기 위한 교육.
• 부재 기간을 보고하고 필요한 운영 정족수를 유지하기 위한 절차.

서명자 주소는 온체인에서 확인할 수 있습니다. 서명자와 관련된 개인 정보는 표적 공격, 강압, 사회공학에 대한 노출을 줄이기 위해 민감 정보로 취급됩니다.

트랜잭션 검증

모든 관리 트랜잭션은 서명 전에 검토됩니다.

서명자는 실행 전에 해당 트랜잭션의 목적, 출처, 프로토콜에 미치는 영향을 이해해야 합니다.

작업에 따라 이 프로세스에는 다음이 포함될 수 있습니다:

• 승인된 내부 채널을 통한 제안자 신원 확인.
• 실행 전 트랜잭션 시뮬레이션.
• calldata 디코딩 및 검증.
• 목적지 주소 및 전송 금액 확인.
• 호출된 함수와 파라미터 검증.
• nonce 및 작업 유형 확인.
• 멀티시그 인터페이스에 표시된 정보와 서명 기기에 표시된 정보 비교.
• 중요한 작업에 대한 트랜잭션 해시 독립 검증.

모든 관리 변경에는 트랜잭션의 목적과 승인 과정을 기록한 운영 맥락 정보가 함께 제공됩니다.

운영 대비

서명자는 서명 작업에 참여할 수 있는지 정기적으로 확인하며, 주요 비상 절차의 시뮬레이션에 참여합니다.

키 분실이나 유출 의심 상황은 사전에 수립된 봉쇄 및 교체 절차를 가동할 수 있도록 보안 채널을 통해 즉시 보고됩니다.

스마트 컨트랙트와 외부 의존성

모든 스마트 컨트랙트에는 취약점, 논리 오류 또는 예기치 않은 동작이 있을 수 있습니다.

여러 컨트랙트가 상호작용하거나 작업에 서로 다른 주체가 개발한 토큰과 프로토콜이 관련될 때 복잡성과 리스크가 증가합니다.

Nami의 자체 스마트 컨트랙트는 전문가 자문, AI 보조 분석, 코드 리뷰, 독립 수동 감사를 결합한 보안 프로세스를 거칩니다. 해당 보고서는 감사 보고서 섹션에서 확인할 수 있습니다.

자체 코드베이스와 그 구성에 대한 중대한 변경 사항은 활성화 전에 검토 및 검증됩니다.

통합 인프라

Nami는 외부 주체가 개발하거나 관리하는 스마트 컨트랙트, 인프라, 서비스를 통합합니다.

이러한 의존성에는 다음이 포함됩니다:

• 유동성 엔진 및 DEX 구성 요소.
• 애그리게이터, 솔버, 라우터.
• 브리지 및 메시징 프로토콜.
• 토큰, 스테이블코인, 브리지 자산.
• RPC 제공자, 인덱서, 인터페이스에서 사용하는 서비스.

Nami는 기술 및 운영 평가 프로세스를 거쳐 이러한 구성 요소를 선정하고 통합합니다. 외부 의존성의 보안, 가용성, 관리는 부분적으로 Nami의 통제 범위 밖에 있습니다.

외부 의존성이 손상되거나 오작동하거나 사용할 수 없게 되면 지연, 트랜잭션 실패, 경로 중단, 또는 실행 전 산출된 추정치와 다른 실행 결과가 발생할 수 있습니다.

OmniSwap 및 실행 제공자

OmniSwap은 여러 애그리게이터, 솔버, 크로스체인 제공자를 병렬로 조회합니다.

견적은 시뮬레이션과 검증을 거쳐 예상 순 출력량을 기준으로 비교됩니다.

선택된 경로의 실행은 관련 제공자의 스마트 컨트랙트, 유동성, 가용성에 따라 달라집니다. 견적 생성과 트랜잭션 확인 사이에 네트워크 상태가 변할 수 있습니다.

슬리피지, 최소 수령량, 기한 등 사용자가 승인한 파라미터는 작업이 실행될 수 있는 한도를 정합니다. 제공자가 손상되었거나 사용할 수 없는 경우 해당 제공자에 의존하는 경로는 일시적으로 제외될 수 있습니다.

멀티체인 작업 및 자산

크로스체인 작업은 독립된 네트워크에 걸쳐 여러 단계로 진행됩니다. 혼잡, 장애, 체인 재구성, 메시지 지연, 릴레이어 이용 불가, 최종성 문제는 작업을 지연시키거나 중단시킬 수 있습니다.

한 블록체인에서 이미 최종성에 도달한 트랜잭션은 Nami가 되돌릴 수 없습니다. 이후 단계의 완료 여부는 목적지 체인의 상황과 자산 또는 메시지 전송에 사용되는 인프라에 따라 달라집니다.

Nami를 통해 사용되는 자산에는 유동성, 변동성, 디페깅, 수탁, 발행사, 블랙리스트, 브리지, 비표준 컨트랙트 동작과 관련된 리스크도 따를 수 있습니다.

시뮬레이션은 해당 시점에 관찰 가능한 조건에서 트랜잭션의 예상 결과를 평가합니다. 이후 발생하는 이벤트나 시뮬레이션으로 감지할 수 없는 동작은 실행이나 자산 가치에 영향을 줄 수 있습니다.

관리자 역할, 멀티시그, 타임락

Nami는 관리 권한을 별도의 역할에 분산하며, 각 역할은 필요한 기능으로만 제한됩니다. 실제 권한은 컨트랙트와 체인에 따라 달라집니다.

컨트랙트에 설정된 주소가 각 역할과 그 권한을 확인하는 공식 기준입니다.

모듈, 가드 또는 승인 한도 메커니즘의 사용은 프로토콜에 필요한 기능으로 제한되며 계속 모니터링 대상이 됩니다.

타임락은 예정된 변경의 승인과 실행 사이에 지연 시간을 둡니다.

이 기간 동안 해당 작업이 공개적으로 관찰 가능해지며, 활성화 전에 그 영향을 평가할 수 있습니다.

타임락 기간은 작업 유형과 관련 구성 요소에 따라 다릅니다.

사고를 즉시 봉쇄하기 위한 기능은 범위가 더 좁고 대응 시간이 더 짧은 긴급 역할에 할당될 수 있습니다.

모니터링 및 사고 대응

멀티시그, 관리 역할, 프로토콜의 주요 구성 요소는 트랜잭션 이벤트 알림 시스템을 통해 모니터링됩니다.

모니터링은 다음과 같은 이벤트를 포괄합니다:

• 새로운 멀티시그 제안 및 트랜잭션.
• 서명자 추가 또는 제거 및 임계값 변경.
• 모듈 및 가드 활성화 또는 비활성화.
• 관리 역할 변경.
• 업그레이드 및 핵심 파라미터 변경.
• 전용 서명자 주소에서 발생하는 예기치 않은 활동.
• 모니터링 대상 구성 요소의 이상 동작.

관련 이벤트는 제한된 채널을 통해 알림을 생성하여 서명자와 보안 담당자가 신속하게 검토할 수 있도록 합니다.

긴급 통제

일부 구성 요소에는 사고를 프로토콜의 영향받는 구성 요소나 영역 내로 봉쇄하도록 설계된 긴급 기능이 포함되어 있습니다.

구성 요소와 사고의 성격에 따라, 사용 가능한 통제 장치로 다음을 일시 중단할 수 있습니다:

• 신규 예치 또는 작업.
• 차입 기능.
• 자동화.
• 크로스체인 작업.
• 보상 또는 발행 분배.
• 특정 통합과의 상호작용.
• 게이지의 신규 배분 수령 자격.

일시 중단은 식별된 리스크를 봉쇄하는 데 필요한 범위에만 적용됩니다.

출금, 청구 및 기타 기능의 이용 가능 여부는 영향을 받은 구성 요소의 아키텍처와 사고 상황에 따라 달라집니다.

대응 절차

취약점, 키 유출 의심, 경제적 이상 또는 외부 통합과 관련된 사고가 확인되면, 팀은 이벤트를 검증하고 분류한 뒤 영향을 받는 구성 요소를 파악하고 지정된 대응 절차와 대응 인력을 가동합니다.

사용 가능한 기능을 활용해 사고를 영향 범위 내로 봉쇄합니다. 수정 사항을 준비, 검토, 검증하기 전에 원인과 영향을 분석합니다. 영향을 받은 기능을 다시 활성화하려면 관련 역할의 승인이 필요하며, 상황이 요구하는 경우 단계적으로 진행될 수 있습니다.

BailSec Emergency Room

Nami는 스마트 컨트랙트나 기타 핵심 프로토콜 구성 요소와 관련된 사고 대응을 지원받기 위해 BailSec Emergency Room을 이용할 수 있습니다.

이 서비스는 트리아지, 기술 분석, 봉쇄, 수정 사항 검증을 지원할 수 있는 보안 전문가에게 연결되는 에스컬레이션 채널을 제공합니다.

운영 통제권은 승인된 역할과 멀티시그에 그대로 남아 있습니다.

BailSec은 프로토콜에 대한 관리 권한을 독자적으로 보유하지 않은 채 기술 및 조사 지원을 제공합니다.

Nami 가치 보호 시스템

Nami 가치 보호 시스템은 게이지를 통해 조율되는 발행, 보상, 배분을 보호하도록 설계된 통제 장치를 한데 모은 것입니다.

이 시스템은 프로토콜이 관리하거나 분배하는 자원을 보호하기 위해 설계되었습니다. NAMI 또는 기타 자산의 시장 가격을 지지하기 위한 것이 아닙니다.

게이지 보호 시스템

게이지 보호 시스템은 손상되거나 조작된 게이지와 경제적 리스크가 있는 게이지로부터 투표 및 분배 시스템을 보호합니다.

게이지가 발행을 받을 자격을 얻기 전에, Nami는 기반 풀, 관련 토큰, 해당 컨트랙트, 운영에 필요한 의존성을 검토할 수 있습니다.

모니터링에서는 다음과 같은 이벤트를 고려합니다:

• 인센티브 조작.
• 비정상적인 보상 분배 활동.
• Epoch 종료 무렵 투표권의 급격한 집중.

리스크가 확인되면, 승인된 역할은 관련 컨트랙트가 정한 한도 내에서 해당 게이지의 신규 발행 또는 보상 수령 자격을 일시 중단할 수 있습니다.

일시 중단은 이미 실행된 배분을 변경하지 않습니다.

시간 가중 배분 평균, 블랙아웃 기간, 적용되는 쿨다운은 투표 배분의 급격한 변화, 특히 Epoch 종료 무렵에 이루어진 변화의 영향을 줄여 줍니다.

이벤트가 분석되고 원인이 해결되었으며 정상 작동에 필요한 조건이 검증된 후에는 게이지가 복원될 수 있습니다.

잔여 리스크

앞서 설명한 조치는 사고의 발생 가능성과 잠재적 영향을 줄이기 위한 것입니다. 스마트 컨트랙트, 블록체인, 외부 의존성, 시장 상황에 내재된 리스크는 여전히 존재합니다.

감사, 모니터링, 관리 통제는 관련 구성 요소의 기술적 한계 내에서 작동하며, 취약점, 장애 또는 중단이 없음을 보장할 수 없습니다.

사용자는 프로토콜과 상호작용하기 전에 컨트랙트 주소, 트랜잭션 파라미터, 부여한 권한을 확인해야 합니다.