XRP 헬스케어 지갑 해킹... 4,000개 지갑에서 26만 7,000 XRP (XRP) 유출

3시간 만에 4,000개 지갑 잔고 소멸

2026년 9월 3일, XRP Ledger(XRPL) 생태계가 대규모 보안 사고를 겪었다. XRPL 기반 의료 프로젝트 XRP Healthcare(구 XRPayNet)의 모바일 지갑이 대량으로 비어버린 것이다. 온체인 데이터에 따르면 약 4,000개의 사용자 지갑이 3시간 남짓한 사이에 잔고를 잃었고, 공격자는 약 26만 7,000 XRP와 수백만 개 규모의 XRPH·XRPHAI 토큰을 가져갔다. 탈취된 자산의 일부는 신속히 이더리움 네트워크로 옮겨졌는데, 이는 자금이 원래 체인을 떠나면 크로스체인 브리지 때문에 회수가 크게 복잡해질 수 있음을 보여주는 대목이다. 핵심은 이번 사고에서 지금까지 XRP Ledger 프로토콜 자체의 결함을 가리키는 단서는 없다는 점이다. 문제는 원장의 합의나 노드 인프라가 아니라 지갑 애플리케이션의 설계 안에 있다. 이 구분은 실질적으로 중요하다. XRP와 XRPH Wallet은 별개의 위험 계층이기 때문이다. 그럼에도 이번 사건은 XRP 생태계 전반의 보안 논쟁을 다시 촉발했다. 개발자와 사용자들은 XRPL 위에 만들어진 셀프커스터디 앱이 사용자가 소유한 가장 민감한 자격 증명인 시드 문구를 어떻게 다루는지 재검토하고 나선 것이다.

서버로 전송된 시드 문구

포렌식 분석은 앱의 핵심 설계 결함으로 침해 경로를 추적했다. XRPL.to가 공개한 독립 온체인 분석에 따르면, 사용자가 스테이킹 기능을 활성화하는 순간 시드 문구 — 모든 지갑 주소가 파생되는 마스터 키 — 가 XRP Healthcare 서버로 전송됐다. 같은 분석은 피해 주소 대부분을 XRPH Wallet 사용과 직접 연결했다. 즉, 대부분의 사용자가 절대 기기를 떠나지 않는다고 믿는 프라이빗 키가, 적어도 해당 흐름에서는 회사 인프라 위에 놓여 있었던 셈이다. XRP Healthcare는 9월 4일 무단 거래를 확인하고, 추가 공지가 있을 때까지 앱을 열지 말 것을 사용자에게 당부했다. 개발진은 온체인에서 자금 이동을 추적 중이며 당국과 협조해 자산을 동결·회수하겠다고 밝혔다. 공개되지 않은 사실도 중요하다. 팀은 서버 측 노출이 의도적인 데이터 수집이었는지, 아니면 엔지니어링 실수였는지 아직 확인하지 않았다. 커스터디 선택을 다시 검토하는 독자에게는 리플 페이퍼 월렛 만드는 법 가이드가 오프라인 키 생성 과정을 안내하며, 보안 연구자들은 앱의 키 처리 방식을 독립적으로 검증할 수 없다면 자금을 하드웨어 지갑이나 오프라인 저장소로 옮길 것을 널리 권고한다.

전직 Ripple 개발자들, 수년간의 경고 지적

사태는 빠르게 X(트위터) 공개 논쟁으로 번졌다. 개발자 BiasGoose는 가장 먼저 입을 연 인물 중 하나로, 이번 유출은 자신에게 새 소식이 아니며 과거에 해당 팀의 그랜트 신청을 거절했다고 말했다. 그의 평가에 따르면 우간다와 연계된 이 의료 프로젝트는 처음부터 경고 신호를 드러냈고, 특히 펀딩 신청서에서 파트너십에 대해 그가 표현하길 ‘뻔뻔한’ 허위 기술을 했다는 것이다. 그는 이런 주장이 자금을 확보하고 화제성을 만들기 위한 것이라고 비판했다. 또한 그는 이 제품에 자체 토큰이 전혀 필요 없었다고 덧붙였는데, 이는 프로젝트의 토크노믹스 정당성 전체를 겨냥한 지적이다. 전직 Ripple 보안 인사들도 이 평가에 힘을 실었다. Ripple 출신 Hazard Cookie와 개발자 Matt Hamilton은 감사자들이 수년간 프로젝트의 아키텍처 리스크를 문서로 기록해 왔다고 말했고, Hamilton은 XRPayNet 시절 팀과 접촉했을 때 이미 온통 경고 신호뿐이었다고 회상했다. 커뮤니티 일각에서는 2022년부터 2024년 사이 이전 시장 사이클에서 이 프로젝트가 러그 풀과 유사한 의혹을 받으며 밀려난 적이 있다는 지적도 나왔다. XRP Healthcare는 강하게 반박하며 베테랑들의 행동이 비윤리적이고, 사용자 피해를 두고 공개적으로 우쭐대는 태도가 진정으로 한심하다고 비난했다. BiasGoose는 앱 개발자들과 달리 자신은 남의 돈으로 위험을 감수한 적이 없다고 되받아쳤다.

프로토콜 vs 애플리케이션, 진짜 교훈

이 사건에서 가장 무게 있는 문서는 온체인 기록이다. 우리가 검토한 포렌식 분석은 시드 문구가 원격 서버로 전송됐음을 보여주며, 독자가 X 논쟁의 어느 쪽을 지지하든 침해 경로를 독립적으로 확인해 준다. 우리의 판단은 이번 사태가 업계가 자주 흐려 온 구분을 선명하게 해줘야 한다는 것이다. XRP Ledger의 프로토콜 보안은 그대로 유지되고 있으며, 검증인 지지율 82.86%로 활성화를 앞둔 네트워크의 fixCleanup3_3_0 업그레이드도 자체 일정대로 진행된다. 무너진 것은 단일 애플리케이션의 키 관리였다. 서드파티 지갑 감사가 기본 요건이 되기 전까지, 어떤 체인의 사용자든 시드 문구의 기밀성을 셀프커스터디 제품의 타협 불가능한 시험 대상으로 봐야 한다. 키가 기기를 떠나는 순간 커스터디는 사실상 포기된 것이다.