2015년부터 XRP 레저(XRP Ledger) 결제 엔진에 방치돼 온 결함이, 공격자에게 총 발행 한도인 1,000억 개를 넘어서는 사용 가능한 XRP (XRP)을 사실상 ‘무제한’으로 찍어낼 수 있는 길을 열어줬던 것으로 개발자들이 확인했다.
핵심 내용:
- AI 보안 도구를 활용하던 한 연구자가 9월 22일 버그바운티 프로그램을 통해 오버플로 버그를 신고.
- 개발진은 사흘 만에 패치를 내놓으며, 10여 년 만에 처음으로 기존 검증인(validator) 투표 절차를 생략.
- 현재까지 해당 취약점이 실제로 악용된 흔적은 발견되지 않음.
XRP 위조 가능 ‘결제 엔진 버그’
XRP 레저 유지·관리팀은 10월 9일 공개된 취약점 보고서에서, 한 연구자가 9월 22일 네트워크의 버그바운티 프로그램을 통해 문제를 제보했다고 밝혔다. 리플(Ripple)의 개발 부문인 RippleX는 공격 재현에 성공한 뒤 이 취약점을 ‘치명적(critical)’ 등급으로 분류했다. 팀은 과거에 이 버그가 실제로 사용됐다는 어떠한 증거도 찾지 못했다고 덧붙였다.
문제는 결제 엔진 내부에 숨어 있었다. 여러 매도 호가를 한 번에 체결하는 과정에서, 결제 엔진은 구매자가 지불해야 할 총액을 계산할 때 검증되지 않은 64비트 정수 연산을 사용했다.
공격자가 수백 개의 ‘의도적으로 왜곡된 가격’의 주문을 던져 총액이 64비트 상한을 넘어가도록 만들면, 합계가 다시 아주 작은 값으로 되감기(오버플로)되면서 판매자들은 ‘제대로 대금을 받은 것처럼’ 처리되고, 실제로 구매자는 거의 아무것도 지불하지 않게 되는 구조였다. 새로 발행되는 XRP를 감시하는 레저의 자체 안전장치 역시 동일한 산술 연산을 사용하고 있었기 때문에, 위조된 XRP를 끝내 감지하지 못했다.
함께 읽기: GPT-6.1 Sol 덕에 아사나 에이전트 비용 76배 절감, 하지만 ‘함정’이 있다
카이든 리아오의 설명
**베리아 랩스(Veria Labs)**의 보안 공동 창업자인 **카이든 리아오(Cayden Liao)**는 X(옛 트위터)에 올린 글에서, 자사 AI 에이전트가 해당 버그를 찾아냈고 실제로 동작하는 공격 코드까지 작성했다고 밝혔다. 그의 추산에 따르면, 단 한 건의 트랜잭션으로 이론상 약 18조 개의 XRP를 새로 찍어낼 수 있었다.
리아오는 이 버그가 “각각 보면 심각도가 낮은 두 개의 결함이 연쇄적으로 엮여 나타난 문제”이기 때문에 그동안 아무도 눈치채지 못했을 가능성이 크다고 분석했다.
리아오에 따르면 리플은 베리아 측에 버그바운티 프로그램의 최대 상금인 25만 달러를 지급했다. RippleX 엔지니어링 총괄인 **J. 아이오 아키네일(J. Ayo Akinyele)**은 앞으로 AI 기반 버그 헌팅과 형식 검증(formal verification)을 더욱 폭넓게 도입하겠다고 밝히며, AI가 “취약점 발견 속도를 근본적으로 바꾸고 있다”고 평가했다.
XRPL, 이례적 ‘비상 패치’
패치는 보고 접수 후 사흘 뒤인 9월 25일, xrpld 3.4.1 버전에 포함돼 배포됐다. 신뢰할 수 있는 검증인의 80% 이상이 같은 날 새 버전을 가동했고, 통상 2주간 진행되는 개정(amendment) 투표 절차 없이 곧바로 변경 사항이 적용됐다. 이런 방식은 10년이 넘는 XRP 레저 역사에서 처음 있는 일이다.
개발자들은 만약 기존 절차를 그대로 따랐다면, 오픈소스 코드 공개로 인해 패치가 실제로 효력을 발휘하기 전 몇 주 동안 공격자들에게 취약점이 고스란히 노출됐을 것이라고 설명했다.
가상자산 업계에서 오버플로 버그의 악몽은 처음이 아니다. 2010년 비트코인 (BTC)에서는 한 건의 트랜잭션에서 1,840억 개가 넘는 비트코인이 잘못 발행되는 사태가 발생했고, 개발자들이 몇 시간 만에 패치를 올린 뒤 체인을 포크해 잘못 생성된 코인을 지워야 했다. 지캐시(Zcash) (ZEC) 역시 올해 초 위조 가능 취약점을 확인한 직후 서둘러 패치를 내놓았고, 당시 공포심이 커지면서 토큰 가격이 급락하기도 했다.
