XRP 무단 발행 진짜 없었나? “실행 어려운 버그라며 왜 이렇게 서둘렀나”

본문

XRP 레저의 2015년 결제 엔진 코드에 있던 취약점은 특수한 주문 수백 개를 한 결제로 처리할 때 XRP를 무단 생성할 수 있어 치명적 등급으로 분류됐다. [블록미디어 James Jung 기자] 엑스알피(XRP) 무단 발행 버그 처리를 둘러싼 논란이 일파만파다. 해당 버그는 11년 동안 잠복해 있다가 불과 14일 전에 발견됐다. 개발팀은 공격자가 이 버그를 악용하는 것이 현실적으로는 불가능했기 때문에 이렇게 오랜 기간 발견 되지 않은 것이라는 해명을 내놨다. 그러나 버그 신고부터 패치 배포까지 XRP 개발팀은 정해진 절차를 생략해가며 사흘만에 전광석화처럼 노드 업그레이드를 단행했다. XRP 레저(XRP Ledger·XRPL) 개발팀에 따르면 이번 버그는 정상적인 거래에서는 발생하기 어려운 특수한 조건에서만 재현이 됐다. 공격자가 특수하게 설계한 수백 개의 매도 주문을 하나의 결제로 처리하면 금액 계산 과정에서 정수 오버플로가 발생할 수 있었다.

공격을 재현하려면 극단적으로 높은 가격의 매도 주문 수백 개를 준비하고 이를 하나의 거래에서 소진하도록 결제 경로를 정교하게 설계해야 했다. 개발진은 악의적인 주문이 일반 이용자의 거래를 방해할 가능성도 검토했지만, 해당 주문은 가격 경쟁력이 지나치게 낮아 정상적인 거래에 영향을 미치지 않는 것으로 분석했다. 11년 가까이 존재한 결함이었지만 실제 무단 발행 사례는 발견되지 않은 셈이다. 정상적인 이용자가 우연히 오류를 일으킬 가능성은 사실상 없지만, 공격자가 취약점을 알고 의도적으로 실행하는 데 필요한 비용은 상대적으로 낮았다. 개발진은 취약점을 수정하는 소스코드를 공개한 뒤 정규 투표를 진행할 경우, 공격자에게 최소 14일의 기회를 제공하게 된다고 판단했다.