- 11년 잠복한 결제 엔진 결함…긴급 패치로 차단
- 실제 악용 증거는 없어…리플·XRPL, 검증 체계 보강
[뉴스에디션] 가상자산 XRP 레저(XRPL)에서 XRP가 무단으로 생성될 수 있는 보안 취약점이 발견됐다. 다행히 공개 네트워크에서 실제 악용됐다는 증거는 확인되지 않았다. 그러나 자칫 XRP의 공급량 관리 원칙을 흔들 수 있었다는 점에서 아찔한 순간이었다.
XRPL 공식 보안 보고서에 따르면 이번 취약점은 2015년 작성된 결제 엔진 코드에 존재했다. 특수하게 설계된 수백 개의 매도 주문을 하나의 결제로 처리하는 과정에서 금액 계산 오류가 발생하면, 실제 지급액보다 적은 XRP를 청구하면서 차액에 해당하는 XRP가 비정상적으로 생성될 수 있었다.
개발진은 자체 시험 환경에서 이 방식으로 생성된 XRP가 다른 계정으로 전송되고 실제 거래에 사용될 수 있다는 사실을 확인했다. 단순한 계산 오류가 아니라 XRP의 공급량 무결성에 영향을 미칠 수 있는 문제였던 셈이다.
취약점 신고는 9월 22일 접수됐다. 개발진은 공격을 재현하고 위험성을 확인한 뒤 사흘 만인 9월 25일 XRPL 서버 소프트웨어인 `xrpld` 3.4.1을 긴급 배포했다. 통상적인 프로토콜 변경 절차를 기다리는 대신 신속한 소프트웨어 업데이트를 선택한 것이다.
더욱 주목할 대목은 XRP의 비정상적인 생성을 감지해야 할 기존 검증 장치도 같은 종류의 계산 오류를 놓칠 수 있었다는 사실이다. 개발진은 취약점 수정과 함께 관련 검증 체계도 보강했으며, 10월 9일 기술 보고서와 수정 코드를 공개했다.
현재까지 공식 조사에서 실제 악용 증거는 발견되지 않았다. 따라서 XRP가 실제로 무단 발행됐다고 볼 근거는 없다. 다만 피해가 확인되지 않았다는 사실과 취약점 자체가 심각하지 않았다는 평가는 별개다.
[단평] 사고가 없었다고 안심할 일은 아니다
이번 사건은 실제 피해로 이어지지 않았다는 점에서 다행스럽다. 그러나 XRP 공급량을 보호해야 할 검증 체계마저 취약점의 영향을 받을 수 있었다는 사실은 결코 가볍지 않다.
리플과 XRPL 개발진이 긴급 패치에 그치지 않고 검증 체계까지 보강하고 있다는 점은 긍정적이다. 이제 중요한 것은 수정이 완료됐다는 발표를 넘어 유사한 결함이 재발하지 않도록 검증 절차를 강화하고, 보안 대응 과정의 투명성을 높이는 일이다.
블록체인의 신뢰는 문제가 없다는 선언이 아니라, 문제가 발견됐을 때 얼마나 철저히 바로잡고 재발을 막느냐에 달려 있다.
