엑스알피 1000억개 발행 한도 뚫릴 뻔…11년 묵은 결함 ‘조용히’ 수정해 논란

본문

엑스알피(XRP) 원장에서 약 11년간 존재한 치명적인 보안 취약점이 발견됐다. 공격자가 정상적인 대가를 지불하지 않고 새로운 XRP를 생성할 수 있는 결함이다. 지난 9월22일 신고, 9월25일 차단 결제 금액 계산 오류…실제 피해는 없어 검증자 투표 생략한 긴급 패치 등 논란일 듯 [블록미디어 이정화 기자] 엑스알피(XRP) 원장에서 약 11년간 존재한 치명적인 보안 취약점이 발견됐다. 이론적으로 총발행량 1000억개 한도를 초과할 가능성까지 있었다. 다만 업데이트 과정에서 검증자 투자를 생략하고, 기술 보고서를 뒤늦게 공개하는 등 보안 문제를 불투명하게 처리한 것이 아니냐는 논란이 예상된다. XRP는 최초 생성된 1000억개 외에 새로운 토큰 을 발행하지 않는 구조다. 공격자가 특수하게 설계한 다수의 매도 주문을 하나의 결제에 포함하면 결제 엔진이 금액을 잘못 계산할 수 있었다.

공격이 성공하면 매도자는 정상적인 금액을 받지만 매수자에게 청구되는 금액은 비정상적으로 줄어들 수 있다.

보안 연구원 케이든 랴오(Cayden Liao)와 베리아 AI(Veria AI)는 지난 9월22일 버그 바운티 프로그램을 통해 해당 취약점을 신고했다. 공격자가 이를 반복적으로 악용했다면 XRP의 총공급량 이 당초 설정된 1000억개를 넘어설 가능성도 있었다. 커뮤니티 일각에서는 XRPL 개발진이 절차를 바꿔가면서 패치를 배포한 것도 문제지만 11년 이상 잠재해 있던 보안 이슈를 단 사흘 동안의 검증으로 “약용 흔적이 없다”고 일방 발표한 것에 대해서도 의문을 제기하고 있다. [블록미디어 이정화 기자] 엑스알피(XRP) 원장에서 약 11년간 존재한 치명적인 보안 취약점이 발견됐다.