2015년부터 XRP 레저(XRP Ledger) 결제 엔진에 잠복해 온 취약점이, 공격자에게 발행 한도인 1천억 개를 넘어서는 ‘사용 가능한’ XRP (XRP)를 찍어낼 수 있는 길을 열어뒀던 것으로 드러났다. 개발진은 뒤늦게 이 사실을 공개했다.
핵심 포인트
- AI 보안 도구를 쓰던 한 연구자가 9월 22일 버그 바운티 프로그램을 통해 오버플로(overflow) 버그를 제보.
- 개발진은 사흘 만에 패치를 배포했고, 10년 넘게 유지되던 ‘검증인 투표 절차’를 처음으로 건너뛰었다.
- 유지 관리팀은 해당 취약점이 실제로 악용된 흔적은 없다고 밝혔다.
XRP 위조 발행 버그의 실체
XRP 레저 유지 관리팀은 10월 9일 취약점 보고서를 통해 이 버그를 공식 공개했다. 보고서에 따르면 한 연구자가 9월 22일 네트워크의 버그 바운티 프로그램을 통해 문제를 알렸고, 리플(Ripple)의 개발 부문인 RippleX는 공격 재현에 성공한 뒤 해당 이슈를 ‘크리티컬(최고 심각도)’로 분류했다. 팀은 체인 이력 전반을 점검했지만, 실제 공격 시도나 악용 흔적은 발견하지 못했다고 밝혔다.
문제의 취약점은 결제 엔진 내부에 숨어 있었다. 이 엔진은 한 번의 결제 트랜잭션이 오더북 상 다수의 호가를 한꺼번에 체결할 때, 구매자가 지불해야 할 총액을 계산하기 위해 ‘체크되지 않은 64비트 정수 연산’을 사용하고 있었다.
공격자는 일부러 왜곡된 가격의 주문 수백 개를 쌓아두고, 이를 한 번에 체결하도록 유도함으로써 총액 계산이 64비트 한계를 넘겨버리게 만들 수 있다. 이렇게 한도를 넘긴 값은 다시 아주 작은 수로 ‘랩어라운드(wrap-around)’되는데, 이 경우 판매자는 정상가를 모두 받지만, 구매자가 실제로 지불하는 금액은 극히 일부에 그치게 된다.
더 큰 문제는 신규 XRP 발행을 감시하는 레저 내부의 안전장치 역시 같은 산술 로직을 공유하고 있었다는 점이다. 이 때문에 시스템은 이론상으로는 ‘하늘에서 떨어진’ XRP를 포함한 전체 공급량 왜곡을 제대로 잡아내지 못했다.
관련 기사: GPT-6.1 Sol 덕에 아사나 에이전트 비용 76배 절감…숨은 조건은
카이든 리아오의 설명
보안 스타트업 Veria Labs의 공동 설립자인 **카이든 리아오(Cayden Liao)**는 자사 AI 에이전트가 해당 버그를 찾아냈고, 실제로 동작하는 익스플로잇까지 구현했다고 X(옛 트위터)에 밝혔다. 그의 추산에 따르면 단 한 건의 트랜잭션만으로도 약 18조 개의 XRP를 ‘찍어낼’ 수 있었다.
리아오에 따르면 이 취약점이 그동안 눈에 띄지 않았던 이유는 “각각 보면 심각도가 낮게 보이는 두 개의 버그가, 서로 연결되면서 치명적인 조합을 이뤘기 때문”이다.
리아오는 리플이 버그 바운티 프로그램 상 최고 한도인 25만 달러를 Veria Labs에 지급했다고 전했다. RippleX 엔지니어링 총괄 **J. 아요 아키니엘레(J. Ayo Akinyele)**는 이번 사건을 계기로 AI 기반 버그 탐지와 형식 검증(formal verification) 활용을 확대하겠다고 밝혔다. 그는 AI가 “취약점이 발견되는 속도 자체를 근본적으로 바꾸고 있다”고 강조했다.
검증인 투표도 건너뛴 XRPL ‘비상 패치’
패치는 제보 사흘 뒤인 9월 25일, xrpld 3.4.1 버전에 반영돼 배포됐다. 신뢰받는 검증인(validator)의 80% 이상이 같은 날 새 버전으로 업그레이드했고, 이 변경 사항은 통상적인 2주간의 개정(amendment) 투표 절차 없이 곧바로 발효됐다. XRPL 역사에서 10년 넘게 이어진 거버넌스 관행을 깨는 첫 사례다.
개발진은 만약 평소처럼 코드를 오픈소스로 공개한 뒤 투표를 거쳐 개정안을 활성화했다면, 패치가 실제 발효될 때까지 수 주 동안 공격자들이 코드를 분석해 취약점을 역으로 파헤칠 여지를 줬을 것이라고 설명했다. ‘비공개·비상 패치’는 그 위험을 줄이기 위한 불가피한 선택이었다는 주장이다.
블록체인 업계에서 비슷한 오버플로 사고는 과거에도 있었다. 2010년 비트코인 (BTC)에서는 오버플로 버그로 인해 단 한 번의 트랜잭션에서 1,840억 개가 넘는 코인이 생성되는 바가 있었다. 개발자들은 몇 시간 만에 버그를 고치고, 문제 트랜잭션이 포함된 체인을 포크(분기)해 기록에서 지워야 했다.
개인정보 중심 코인 지캐시(Zcash) (ZEC) 역시 올해 초 위조 발행 취약점이 드러나자 서둘러 패치를 진행했다. 당시 신뢰성 훼손 우려가 커지면서 토큰 가격은 급락을 경험했다.
