XRPL 결제 엔진의 휴면 버그로 XRP가 하드 캡을 초과해 발행될 수 있었다
TREE NEWS 보도: XRP 레저는 10년 이상 결제 엔진에 치명적인 취약점을 안고 있었다. 이 결함은 악용될 경우 XRP가 고정 공급량을 초과해 발행되도록 허용할 수 있었다. 이 버그는 Veria AI의 버그 바운티 제출을 통해 발견되었으며 xrpld 3.4.1 릴리스에서 수정되었다. 악용은 관찰되지 않았고, 검증인들은 공개 전에 네트워크 업그레이드를 조율했다.
RippleX 엔지니어링 리드 J. Ayo Akinyele는 심각성을 확인하며, 이 문제가 현재 XRPL 생태계의 대부분보다 앞선 코드에서 10년 넘게 지속되었다고 지적했다. 이 공개는 무슨 일이 일어났는지(아무 일도 없었다)보다, 오래된 블록체인 코드베이스에 내재된 롱테일 리스크에 대해 무엇을 드러내는지에서 주목할 만하다.
공급 버그가 XRPL에 치명적인 이유
XRP의 핵심 가치 제안은 1,000억 토큰의 고정 공급량에 기반한다. 재량적 통화 정책을 가진 네트워크와 달리 XRPL은 공급을 팽창시킬 거버넌스 메커니즘이 없으며, 합의 프로토콜은 이중 지출과 무단 발행을 방지하도록 설계되었다. 이러한 제약을 우회할 수 있는 결제 엔진 결함은 자산의 희소성 보장, 즉 시장 가치와 기관 사용자 매력의 기반을 훼손할 것이다.
이 버그가 10년간의 감사, 적대적 테스트, 그리고 대규모 프로덕션 사용을 견뎌냈다는 사실은 더 광범위한 문제를 부각한다. 오래 운영되는 원장의 레거시 코드 경로는 새 기능만큼 엄격하게 재검토되는 경우가 드물다. 공격자들은 점점 더 이런 종류의 기술 부채를 정확히 겨냥하고 있다.
AI가 취약점 발견의 계산을 바꾸고 있다
Akinyele는 AI가 취약점 발견을 가속화하고 있다고 강조했는데, 이는 양날의 검이다. 이 결함을 드러내는 데 도움을 준 동일한 도구, 즉 Veria AI의 보고서는 악의적 행위자도 이용할 수 있다. Akinyele에 따르면 방어적 대응에는 더 적극적인 보안 투자, 기술 부채 해소, 핵심 프로토콜 로직의 형식 검증 확대가 포함된다.
- 형식 검증은 결제 및 발행 로직에서 있으면 좋은 것에서 기본선으로 이동한다.
- 버그 바운티는 성숙한 프로토콜에서 첫 번째 방어선으로서 가치를 입증하고 있다.
- 공개 전 검증인 조율은 의도대로 작동했다 — 시장 혼란 없는 조용한 업그레이드였다.
다음에 주목할 것
이 사건은 고정 공급 가정을 가진 다른 장수 원장들에 대한 감시를 강화할 가능성이 높다. 더 많은 프로젝트가 레거시 코드에 대한 소급 감사를 의뢰할 것이며, AI 지원 퍼징과 형식 기법이 프로토콜 보안 예산의 표준 항목이 될 것으로 예상된다. XRPL의 경우 즉각적인 리스크는 닫혔지만, 평판과 기술적 후속 조치가 이것이 각주에 그칠지, 네트워크가 자신의 역사를 관리하는 방식의 전환점이 될지를 결정할 것이다.
