ZachXBT “XRP 버그 보상 25만달러, 턱없이 적다”

본문

엑스알피레저(XRPL)에 10년 넘게 존재한 취약점으로 단일 거래에서 최대 18조개의 XRP가 발행될 수 있었지만 수정됐다. [멕시코=심영재 특파원] 엑스알피(XRP) 의 공급량 한도를 무력화할 수 있었던 치명적인 보안 취약점이 발견돼 수정된 가운데, 이를 신고한 화이트해커에게 지급된 25만달러의 포상금을 두고 논란이 일고 있다. 블록체인 조사 전문가 잭엑스비티( ZachXBT )는 취약점의 잠재적 피해 규모에 비해 보상이 지나치게 적다고 비판했다. 12일(현지시각) 비트코인닷컴에 따르면 이번 취약점은 엑스알피레저(XRPL) 코드에 10년 넘게 존재했다. 악용할 경우 단일 거래로 최대 18조개의 XRP를 새로 발행할 수 있는 결함이었다. 이는 엑스알피 의 기존 공급 한도인 1000억개의 180배에 해당한다. 지난달 22일 신고와 확인이 이뤄졌으며, 같은 달 25일 수정 코드가 배포됐다.

이후 검증인 80% 이상이 업데이트를 적용하면서 해당 취약점을 이용한 공격 가능성이 차단됐다고 매체는 전했다.

랴오는 버그바운티 프로그램의 최대 지급액인 25만달러를 받았다. 잭엑스비티는 소셜미디어에서 수십억달러 규모의 자산을 보유한 조직이 심각한 공급량 취약점을 신고한 연구자에게 25만달러만 지급했다고 비판했다. 그는 이처럼 낮은 보상이 향후 취약점 발견자의 자발적 신고를 저해하고, 오히려 공격을 통한 부당이득을 선택하도록 만들 수 있다고 경고했다. 재단이 프로그램 외부에서도 보안 연구자들과 상업적 계약을 체결했다고 설명했지만, 이번 사례에 추가 보상이 지급됐는지는 공개하지 않았다.