블록미디어 이정화 기자의 보도에 따르면, XRP 레저(XRPL)에서 약 11년간 존재했던 치명적인 보안 취약점이 발견되어 긴급 업데이트를 통해 수정되었습니다. 이번 결함은 공격자가 정상적인 대가를 지불하지 않고 새로운 XRP를 생성할 수 있게 만드는 구조적 오류로, 이론적으로는 총발행량인 1000억 개 한도를 초과할 가능성까지 포함하고 있었습니다. 개발진은 실제 악용 사례는 발견되지 않았다고 발표했습니다.
어떤 기술적 결함이 발생했나요?
이번 취약점은 XRPL에 내장된 탈중앙화거래소(DEX)의 주문 처리 과정에서 발생한 '정수 오버플로(integer overflow)' 오류입니다. 시스템이 여러 거래 금액을 합산하는 과정에서 처리할 수 있는 정수 범위를 초과하면서 계산 결과가 왜곡되는 현상이 나타났습니다.
공격자가 특수하게 설계한 다수의 매도 주문을 하나의 결제에 포함하면, 결제 엔진이 이를 잘못 계산하여 매수자에게 청구되는 금액이 비정상적으로 줄어들게 됩니다. 이 경우 공격자는 정상적인 대가를 지불하지 않고 XRP를 확보하게 되며, 이는 기존 공급량에 포함되지 않은 새로운 XRP가 생성되는 결과를 초래합니다.
XRP 총발행량 한도는 안전한가요?
XRP는 최초 생성된 1000억 개 외에 추가 발행을 하지 않는 구조를 핵심 원칙으로 합니다. 그러나 이번 취약점을 반복적으로 악용했다면 이론적으로 총공급량이 설정된 1000억 개를 넘어설 가능성이 있었습니다.
보안 연구원들은 독립적인 시험 환경에서 공격을 재현했으며, 새롭게 생성된 XRP를 다른 거래에 사용할 수 있다는 점도 확인했습니다. 이는 단순한 계산 오류를 넘어 디지털 자산의 희소성과 신뢰도를 훼손할 수 있는 중대한 문제로 평가됩니다.
긴급 패치 과정에서 어떤 논란이 있나요?
XRPL 개발진은 신고 사흘 만인 9월 25일 소프트웨어 버전 xrpld 3.4.1을 긴급 배포하여 문제를 차단했습니다. 이 과정에서 통상적인 거래 처리 규칙 변경 절차인 '검증자 투표'를 생략하고 업데이트를 진행했는데, 이는 취약점이 외부에 알려질 경우 발생할 공격 위험 때문에 내린 전례 없는 조치였습니다.
커뮤니티에서는 11년 이상 잠재해 있던 보안 이슈를 단 사흘간의 검증만으로 "악용 흔적이 없다"고 일방적으로 발표한 것에 대해 의문을 제기하고 있습니다. 또한 기술 보고서 공개가 지연된 점 등 보안 문제를 불투명하게 처리했다는 비판이 예상됩니다.
앞으로 무엇을 확인해야 하나요?
개발진은 실제 운영 중인 네트워크에서 해당 취약점이 악용된 증거를 발견하지 못했다고 밝혔습니다. 향후 독자는 개발진이 제시한 '실제 피해 없음'이라는 발표가 정확한 것인지, 그리고 긴급 패치 이후 네트워크 안정성에 변화가 없는지 지속적으로 모니터링할 필요가 있습니다.
자주 묻는 질문
검증자 투표 절차를 생략하고 긴급 업데이트를 진행한 이유는 무엇인가요?
취약점이 외부에 알려질 경우 공격자가 이를 즉각 악용할 위험이 있다고 판단했기 때문입니다.
이번 결함으로 인해 실제로 XRP가 추가 발행되었나요?
개발진은 실제 운영 중인 공개 네트워크에서 해당 취약점이 악용된 증거를 발견하지 못했다고 밝혔습니다.
정수 오버플로(integer overflow) 오류는 구체적으로 어떤 상황에서 발생했나요?
탈중앙화거래소(DEX)의 주문 처리 과정에서 여러 거래 금액을 합산할 때 시스템이 처리할 수 있는 정수 범위를 초과하면서 발생했습니다.
자료 게시일: 2026년 10월 10일 (한국 시간)