XRP 원장, 공급량 넘게 XRP 만들 수 있던 결제 오류 고쳤다

• 목록
• 신고

XRP 원장(XRP Ledger)에서 정해진 공급량을 넘어 XRP를 새로 만들어 낼 수 있던 결제 오류가 수정됐습니다. 이 내용은 10월 9일 공개된 보안 보고서로 알려졌습니다. 수정은 9월 25일 서버 소프트웨어 xrpld 3.4.1에 담겨 배포됐고, 공개 네트워크에서 악용된 증거는 발견되지 않았다고 합니다.

배경: 고정된 공급량과 내장 거래소

XRP는 2012년 원장이 출범할 때 1,000억 개가 한꺼번에 만들어졌습니다. 소프트웨어도 더 늘릴 수 없게 만들어져 있습니다. 이 고정 공급량은 기관이 XRP 네트워크를 쓰는 바탕이 되는 규칙입니다.

문제가 된 곳은 원장에 기본으로 들어 있는 내장 거래소입니다. 이곳에서는 계정들이 한 토큰을 다른 토큰으로 바꾸겠다는 주문을 올려 둡니다. 쉽게 말해 원장 안에 있는 자체 장터입니다.

어떤 오류였나

보고서에 따르면 공격자는 이론상 수백 개 계정을 만들 수 있었습니다. 각 계정은 아주 적은 양의 토큰을 내놓는 대신 비정상적으로 많은 XRP를 받겠다는 주문을 올립니다. 그다음 결제 한 번으로 이 주문을 전부 한꺼번에 사들이는 방식입니다.

이때 지불해야 할 XRP 총액이 너무 커서 소프트웨어가 합계를 제대로 세지 못했습니다. 그 결과 주문을 올린 계정들은 대금을 전부 받았는데, 사는 계정은 거의 아무것도 내지 않았습니다. 원래 없던 XRP가 생기는 구조였습니다.

원장은 거래마다 새 XRP가 생기지 않았는지 검사합니다. 하지만 이 검사도 잘못 센 합계를 기준으로 하기 때문에 오류를 놓쳤을 것이라고 합니다. 계정 하나가 받을 수 있는 XRP 양에는 별도 한도가 있지만, 공격이 수백 개 계정으로 XRP를 나눠 담는 방식이라 이 한도에도 걸리지 않았을 것이라고 합니다.

발견과 수정 과정

이 오류는 2015년부터 있었던 것으로 추정됩니다. 연구자 케이든 리아오(Cayden Liao)와 베리아 AI(Veria AI)가 찾아 9월 22일 내부에 보고했습니다. 리플의 개발 조직 리플엑스(RippleX)는 독립 서버에서 공격을 재현했고, 새로 만들어진 XRP를 다음 거래에서 쓸 수 있다는 점도 확인했습니다.

연구자들이 쓴 방법은 계정을 여는 데 XRP 수백 개와 거래 수수료만 필요했고, 그중 대부분은 회수할 수 있었다고 합니다. 수정 사항은 무엇을 고치는지 밝히지 않은 채 9월 25일 배포됐습니다. 보안 보고서는 그로부터 2주 뒤인 10월 9일 공개됐습니다.

코인데스크는 7월 이후 AI의 도움으로 드러난 오래된 결함 사례도 함께 전했습니다. 최소 1,367 BTC 도난으로 이어진 콜드카드(Coldcard) 지갑 버그, 비트코인 노드 운영자에게 연결을 끊으라고 알리게 만든 코어 라이트닝(Core Lightning) 취약점이 그 예입니다.

코인 투자자에게 어떤 의미일까

XRP를 들고 있거나 거래하는 사람은 두 가지를 나눠서 보면 좋습니다. 하나는 오류가 이미 고쳐졌다는 점이고, 다른 하나는 공개 네트워크에서 악용된 증거가 발견되지 않았다는 점입니다.

이 오류의 위험은 공격자가 새로 만든 XRP를 거래소에서 팔 수 있었다는 데 있었습니다. 공급량이 정해져 있다는 약속이 흔들릴 수 있기 때문입니다. 업비트나 빗썸 같은 원화 거래소에서 거래하는 국내 이용자도 같은 XRP를 다루므로, 이런 약속이 지켜지는지는 가격 판단의 기본 전제가 될 수 있습니다.

앞으로는 xrpld 3.4.1 이후 소식이나 추가 보안 안내가 나오는지 RippleX 공식 공지에서 확인해 보면 좋습니다. 코인 소프트웨어는 오래됐다고 해서 안전이 보장되는 것은 아니라는 점도 이번 사례에서 읽을 수 있습니다.

출처: 코인데스크 - XRP Ledger patched decade-old bug that could create billions of dollars in XRP from nothing · 토큰포스트 - [저녁 뉴스브리핑] XRP 원장 결제 취약점 수정 外

사진: XRP Ledger / Wikimedia Commons (Public domain)