XRP 버그 공개와 에버노스 합병 완료, 10월 9일 같은 날 나왔습니다

• 목록
• 신고

XRP 레저(XRPL)의 무단 발행 취약점 공식 보고서와 XRP 재무투자 기업 에버노스의 합병 완료 공시가 10월 9일에 나란히 나왔습니다. 취약점은 9월 22일 신고되고 9월 25일 수정됐지만, 구체적인 내용은 약 2주 뒤에야 공개됐습니다. 합병 계약 당사자이자 XRP 출자자인 리플랩스가 취약점 정보를 합병 관계자들에게 공유했는지가 새 쟁점이 됐습니다.

배경: 무단 발행 취약점과 에버노스

XRP 레저는 XRP 거래 내역을 기록하는 장부, 즉 원장입니다. 무단 발행 취약점은 정해진 발행량 한도를 넘어 새 XRP를 만들 수 있는 결함을 뜻합니다.

XRPL 보고서에 따르면 이 결함은 2015년부터 있었던 것으로 추정됩니다. 개발 조직 리플엑스는 신고된 버그를 재현한 뒤 위험도를 가장 높은 단계인 '치명적(Critical)'으로 평가했습니다.

에버노스는 XRP를 핵심 재무자산으로 보유하고 투자하는 회사입니다. SPAC(기업인수목적회사)과 합병해 나스닥 상장을 추진해 왔습니다. SPAC은 다른 회사와 합병해 상장시키는 것을 목적으로 세운 회사입니다.

자세한 경과

날짜 순서로 정리하면 다음과 같습니다.

• 8월 27일: 에버노스가 미국 증권거래위원회(SEC)에 확정 투자설명서를 제출했습니다.
• 9월 22일: 무단 발행 취약점이 신고됐습니다.
• 9월 25일: 수정 버전인 xrpld 3.4.1이 배포됐습니다.
• 9월 30일: SPAC인 아르마다 주주들이 에버노스와의 합병을 승인했습니다.
• 10월 6일: 에버노스가 SEC 공시에서 일정 변경 사유를 '행정적 지연'이라고만 설명했습니다. 합병 완료 예정일은 당초 7일에서 9일로, 신규 주식 거래 개시 예정일은 8일에서 12일로 발표했습니다.
• 10월 9일: 에버노스가 아르마다 애퀴지션 코퍼레이션 II와의 기업결합 완료를 8-K 공시서류로 밝혔습니다. 같은 날 XRPL 측은 패치 배포 사유, 구체적인 취약점 내용, 수정 코드를 공개했습니다.

8-K는 미국 상장사가 중요한 사건이 생겼을 때 SEC에 내는 수시 공시입니다. 공격 방법과 수정 내용은 보안상 이유로 약 2주간 공개되지 않았다고 전해졌습니다.

왜 쟁점이 됐나

에버노스의 10월 9일자 8-K에는 리플랩스가 기업결합 계약의 당사자이자 XRP 출자자로 적혀 있습니다. 그래서 리플 측이 9월 22일 신고된 취약점을 에버노스 경영진과 공유했는지가 궁금증으로 떠올랐습니다. 에버노스 경영진과 이사회가 당시 취약점을 알았는지, 리플 측이 합병 관계자들에게 전달했는지는 현재까지 확인되지 않았습니다.

두 날짜가 같다고 해서 일정을 일부러 맞췄다는 증거가 나온 것은 아닙니다. 상장 일정 변경과 비공개 보안 조치가 직접 연결돼 있다는 증거도 확인되지 않았습니다.

8월 27일 투자설명서에는 소스코드나 암호기술 결함이 원장의 무결성을 해치고 XRP에 대한 신뢰를 떨어뜨릴 수 있다는 위험이 적혀 있습니다. 악의적인 행위자가 규칙을 어기고 자금을 탈취하거나 만들어 내는 사례가 생길 수 있다는 취지의 설명도 있습니다. 다만 이 문서는 버그 신고 전에 작성됐고 특정 결함을 짚지도 않았기 때문에, 에버노스가 미리 알았다는 근거로 볼 수는 없습니다.

일반적인 위험을 알린 뒤 실제로 치명적인 취약점이 확인됐으니 추가로 투자자에게 설명했어야 했다는 비판이 가능하다는 지적이 나옵니다. 버그가 9월 25일 이미 수정됐다는 점에서 별도 공시가 필요했다는 의견도 있습니다.

앞으로 확인할 점

10월 11일 기준으로 에버노스의 신규 주식 거래 개시 예정일은 10월 12일입니다. 합병은 10월 9일 공시로 이미 완료됐다고 알려졌습니다.

이후에는 에버노스나 리플 측이 정보 공유 시점에 대해 추가 설명을 내놓는지, SEC 공시에 변화가 있는지를 볼 수 있습니다. 이런 설명이 나올지는 지금으로서는 알 수 없습니다.

국내 XRP 투자자에게 어떤 의미일까

기술 문제와 정보 공개 문제를 나눠서 보면 좋습니다. 버그는 9월 25일 배포된 버전에서 수정됐다고 보고서에 적혀 있습니다. 지금 논란은 이 사실이 언제, 누구에게 전달됐느냐에 가깝습니다.

치명적 등급의 결함이 2015년부터 있었던 것으로 추정된다는 내용은 XRP를 보유한 사람에게 신경 쓰이는 대목일 수 있습니다. 원장에 대한 신뢰와 이어지는 문제이기 때문입니다. 다만 이 일이 가격에 어떤 영향을 줄지는 알 수 없습니다.

국내 거래소에서 XRP를 거래한다면 해외 소식이 나올 때 국내 가격이 급하게 움직일 수 있습니다. 이때 국내 가격이 해외보다 얼마나 비싼지 나타내는 김치프리미엄도 함께 보면 좋습니다. 코인별 수치는 XRP 김치프리미엄에서 볼 수 있습니다.

에버노스의 추가 공시와 XRPL 개발팀의 후속 보고서를 함께 확인하는 편이 좋습니다. 확인되지 않은 추측은 커뮤니티에서 빠르게 퍼질 수 있어서, 공시와 공식 보고서에 나온 내용을 기준으로 보는 편이 안전합니다.

출처: 블록미디어 - [속보] XRP 재무투자 회사 에버노스 상장과 무단 발행 버그 연관성 급부상 · 블록미디어 - [속보] 에버노스 상장 확정과 XRP 무단 발행 버그 공개 10월9일로 일치 · 블록미디어 - [속보] 에버노스 8월 제출 투자설명서, “XRP 소스코드 결함 위험” 포괄적 언급 · 블록미디어 - [속보] 에버노스 출자자 리플, XRP 무단 발행 버그 정보 공유했나? 의문 증폭

사진: XRP Ledger / Wikimedia Commons (Public domain)