RippleX, XRP 1,000억 개 총량 한도 돌파 발행이 가능했던 공급 버그 수정

1,000억 개 한도를 위협한 2015년 결함

XRP Ledger의 결제 엔진에 존재하던 중대 결함은 공격자가 아무것도 없는 상태에서 실제로 사용 가능한 XRP를 발행할 수 있게 할 뻔했고, 토큰의 고정된 1,000억 개 공급 한도 자체가 위태로워질 수 있었다. 다만 이 결함이 실제로 악용됐다는 증거는 없다. 연구자 Cayden Liao와 Veria AI가 9월 22일 XRPL 버그 바운티 프로그램을 통해 결함을 보고했고, 10월 9일 금요일 공개된 공식 공시는 이 결함의 원인이 2015년, 즉 해당 엔진이 처음 만들어진 시점까지 거슬러 올라간다고 밝혔다. 공시 당시 XRP 가격은 1.41달러 부근에서 형성돼 있었고, 이를 기준으로 1,000억 개 전체 한도의 가치는 약 888억 달러에 달한다. 결함은 곧 자산 전체의 가치를 위협하는 문제였던 셈이다.

결함은 블록체인의 결제를 정산하는 엔진, 즉 PayFi 트래픽이 흐르는 동일한 결제 인프라와, 계정이 토큰 간 교환을 위해 오퍼를 등록하는 내장 교환 기능 안에 자리하고 있었다. 공격자는 수백 개의 계정을 만들어 각 계정에 소량의 토큰을 내놓고 막대한 양의 XRP를 받겠다는 오퍼를 등록한 뒤, 단 한 번의 결제로 모든 오퍼를 일괄 정산할 수 있었다. 이때 엔진이 관리하는 누적 합계가 카운터가 담을 수 있는 범위를 넘어 최솟값으로 되감기는데, 자동차 계기판이 최고 눈금을 지나 되돌아가는 것과 같은 원리다. 결과적으로 매도자는 전액을 받았지만 구매자는 거의 아무것도 지불하지 않았고, 그 차액이 새로 사용 가능한 XRP로 원장에 기록됐다. 발행된 공급을 잡아내도록 설계된 안전 검증 장치 역시 같은 카운터를 읽었기 때문에 이 공백을 놓쳤다. 트리거를 작동시키려면 대량의 오퍼를 한 번의 결제로 정산해야만 했고, 이것이 10년 가까이 방치됐던 결함이 발견되지 않은 이유를 설명한다.

Ripple의 개발 부서인 RippleX는 보고를 받은 며칠 안에 자체 서버에서 공격을 재현했고, 위조 토큰이 이후의 결제 자금으로도 사용될 수 있음을 확인한 뒤 이 사안을 중위험 등급이 아닌 최고 위험으로 분류했다. 공식 공시 게시물은 수백 XRP 예치 자금과 수수료만으로 충당된 단일 검증된 거래가 유통량 전체를 훨씬 넘는 새 토큰을 만들어낼 수 있었을 것이라고 밝힌다.

수정안 투표 절차를 건너뛴 첫 번째 사례

원장의 규칙 변경은 원래 수정안(amendment) 절차를 거친다. 이는 하드 포크 없이 네트워크가 규칙을 업그레이드하도록 하는 메커니즘이다. 수정안은 원장 거래를 검증하는 서버인 신뢰 검증자의 80%를 넘는 지지를 받아 2주간 유지된 후에야 활성화되는데, 이 기준은 특정 소수 집단이 거래 규칙을 독단으로 바꾸지 못하도록 만들어진 것이다. 이번 수정은 그 절차를 완전히 우회했다. RippleX는 보고가 도착한 지 3일 만인 9월 25일 금요일, 서버 소프트웨어 3.4.1 버전에 수정 사항을 반영했고, 각 운영자가 업그레이드하면서 수정이 순차적으로 활성화됐다. 이 메커니즘이 도입된 10여 년 전 이후 거래 처리 방식을 의도적으로 수정안 체계를 거치지 않고 바꾼 것은 이번이 처음이다. 3.4.0 버전까지의 모든 릴리스에는 이 결함이 그대로 남아 있었다.

속도가 이 결정을 끌어냈다. 서버 소프트웨어는 오픈소스이기 때문에 공개 투표를 통해 패치를 진행하면 공격자에게 버그의 위치를 그대로 알려주는 꼴이 되고, 투표에 소요될 수 주간 동안 취약점이 악용 가능한 상태로 남는다. XRP Ledger 재단, RippleX와 검증자들은 먼저 수정하고 나중에 공개하는 쪽을 택했다. 배포 당일, 수정 코드가 공개되기 전에 이미 기본 검증자의 80% 이상이 3.4.1 이상 버전을 운용하고 있었다. RippleX는 앞으로의 변경은 여전히 투표 절차를 따른다고 밝혔고, 배포 절차에는 새 단계가 추가됐다. 감사든 버그 바운티든 수정된 발견 사항은 릴리스 후보 버전에서 원래 결함에 대한 재현 검증을 통과해야만 수정이 완료된 것으로 인정된다. 버전이 섞여 운용되는 원장은 같은 결제의 결과를 두고 서로 불일치할 위험이 있었으며, 기본 검증자 집단은 그 공백을 몇 시간 안으로 좁혀 닫았다.

이번 공시는 Cyber Capital 창립자 Justin Bons가 Ripple의 David Schwartz와의 공개 논쟁에서 XRP를 파는 행위를 탈중앙화 관점에서의 '사기'라고 규정한 하루 뒤에 이뤄졌다. 이 사건은 양쪽 논거에 새로운 자료를 제공한다. 원장의 주요 주체들이 실제로 협조했고 네트워크는 몇 시간 안에 업그레이드됐지만, 그 업그레이드가 가능했던 까닭은 소수의 주체들이 합의 절차를 제쳐둔 때문이기도 하다.

메인넷 악용 흔적은 없다

실제 네트워크에서 공격이 발생했다는 증거는 없다. RippleX는 자체 검토 결과 오버플로가 메인넷에서 발동된 흔적을 찾지 못했다고 밝혔고, 토큰을 발행했다고 주장한 당사자도 나서지 않았다. 기록은 실현된 손실이 아닌 입증되지 않은 위협에서 끝난다. 보고서가 남긴 잔여 리스크는 더 좁다. 늦게 업그레이드한 서버가 같은 결제의 결과를 두고 동료 노드와 일시적으로 불일치할 수 있었는데, 이 공백은 배포 당일 기본 검증자 집단에 의해 닫혔다. 더 넓은 XRP 시장 흐름 속에서 이번 공시와 가격은 별개로 추적된다. XRP 기술적 분석은 가격 레벨을 이 공시와 별도로 다루며, 앞선 보도에서는 XRP Ledger 결제 활동이 하룻밤 사이 급감한 흐름을 확인할 수 있다. 첫 매수를 검토하는 독자는 XRP 매수 방법 가이드에서 시작할 수 있다.