XRP 레저, 수조 개 토큰을 발행할 수 있었던 10년 된 버그 공개
TREE NEWS 보도: XRP 레저가 코드베이스에 약 10년간 잠복해 있던 치명적인 취약점을 공개했다. 이 취약점이 악용될 경우 공격자가 사실상 무제한의 XRP를 발행할 수 있었다. 이 결함은 9월 25일 xrpld 3.4.1 릴리스에서 패치되었으며, 개발자들은 공개 네트워크에서 악용된 흔적을 발견하지 못했다고 밝혔다.
무슨 일이 있었나
이 버그는 레저의 초기 버전까지 거슬러 올라가는 것으로 알려졌으며, 특정 트랜잭션 경로가 검증되는 방식의 결함과 관련이 있었다. 조건이 맞으면 프로토콜의 고정 공급 일정을 벗어나 XRP를 생성할 수 있었고, 최악의 경우 수조 개의 토큰이 유통에 풀려 자산 가치가 폭락할 수 있었다.
개발자들은 공개에 앞서 조용히 패치에 나섰다. 이는 블록체인 보안에서 ‘조율된 공개(coordinated disclosure)’로 알려진 일반적인 관행으로, 악의적인 행위자가 익스플로잇을 역설계하기 전에 노드 운영자에게 업그레이드할 시간을 준다.
왜 중요한가
- 공급 무결성은 생존 문제: XRP의 고정된 1,000억 개 토큰 공급은 통화 정책의 근간이다. 발행 버그는 가격뿐 아니라 레저 전체의 신뢰 모델을 위협한다.
- 10년 된 코드는 시스템적 위험: 이번 사건은 오래 운영된 블록체인의 레거시 코드가 감사에서 놓칠 수 있는 잠재적 결함을 품을 수 있음을 보여준다.
- 노드 업그레이드의 시급성: 검증자와 노드 운영자는 패치된 버전을 실행해야 한다. 업그레이드 주기가 느린 네트워크는 동일한 유형의 위험에 계속 노출된다.
이번 공개는 블록체인 보안 연구의 정교화도 부각한다. 화이트햇 개발자와 감사 업체는 결함을 악용하기보다 책임 있게 발견하고 보고하도록 점점 더 장려되고 있다. 다만 연구자와 공격자의 경계는 종종 모호하다.
앞으로의 전망
XRP 레저의 공개는 두 가지 흐름을 가속할 가능성이 크다. 첫째, 더 성숙한 체인들은 초기 코드에 대한 소급 감사를 의뢰해야 한다는 압력에 직면할 것이다. 둘째, 취약점을 언제 어떻게 공개할지에 관한 공개 프레임워크는 기술적 문제를 넘어 거버넌스 문제가 될 것이다.
XRP 보유자에게 당장의 결론은 안심할 만하다. 결함은 수정되었고 악용은 탐지되지 않았다. 그러나 이번 사건은 탈중앙화 금융에서 코드가 곧 중앙은행이며, 단 한 줄이 공급의 규칙을 다시 쓸 수 있음을 상기시킨다.
