XRP, 11년간 숨겨진 '무한 발행' 버그... 1000억 개 상한선 위협

XRP 원장(XRPL)에서 11년 넘게 발견되지 않은 치명적인 버그가 발견되어, 공격자가 수십억 개의 XRP를 생성하여 총 발행량 1000억 개 상한선을 무너뜨릴 수 있었던 것으로 드러났습니다. XRP 원장 재단은 일반적인 거래 매개변수로는 이 버그가 활성화되지 않았기 때문에 오랫동안 탐지되지 못했다고 밝혔습니다.

이 버그는 '정수 오버플로' 취약점으로, 마치 오래된 아케이드 게임의 점수 계산기가 최대치에 도달하면 0으로 초기화되는 것과 유사합니다. XRP 원장의 경우, 거래 규모가 시스템이 허용하는 최대 숫자 제한을 초과하면 해당 값이 매우 작은 숫자로 롤오버(wrap around)되어 표준 자금 확인을 우회할 수 있었습니다. 이로 인해 판매자는 XRP 전액을 지급받는 반면, 구매자는 거의 아무것도 지불하지 않는 것처럼 보였고, 사실상 차액만큼의 XRP가 허공에서 생성되어 총 XRP 공급량을 인위적으로 늘리는 결과를 초래할 수 있었습니다.

연구원 케이든 리아오(Cayden Liao)와 베리아 AI(Veria AI)는 지난 9월 22일 이 취약점을 발견하고 내부적으로 보고했습니다. 공격자는 가짜 계정을 개설하여 천문학적인 금액의 XRP에 대한 허위 토큰 판매를 게시한 뒤, 구매자 역할을 하며 XRP로 대금을 지급하는 방식으로 모든 토큰을 한 번에 구매할 수 있었습니다. 이 경우 XRP 원장은 판매자 계정에 수십억 개의 유효한 XRP를 입금하면서도, XRP의 엄청난 양에 압도되어 구매자의 총 지불 비용을 단 몇 센트에 불과한 것으로 기록했을 것입니다. 이는 표준 자금 확인 절차를 우회하여 시스템이 차액만큼의 XRP를 사실상 새로 발행하게 만드는 것이었습니다.

하지만 다행히도 이 심각한 버그가 실제 악용된 증거는 발견되지 않았습니다. RippleX는 이 사실을 확인한 후 즉시 패치를 배포했습니다. XRP 원장 재단에 따르면, 현재까지 새로운 XRP가 생성되지 않았으며 약 999억 8600만 개의 XRP가 유통되고 있습니다.

XRP 원장은 2012년 블록체인 탄생 당시 생성된 1000억 개의 총 발행량을 절대 초과할 수 없다는 핵심 규칙에 따라 설계되었습니다. XRP는 주로 거래 수수료를 지불하거나 원장 내장 분산형 거래소(DEX)에서 통화 거래를 중개하는 데 사용됩니다. 하지만 2015년부터 존재했던 것으로 추정되는 이 버그는 이론적으로나마 이 규칙을 우회할 수 있는 경로를 제공했던 것입니다.

이번 사건은 암호화폐 시스템의 복잡성과 잠재적인 취약점을 다시 한번 드러냈습니다. 특히, 총 발행량이 고정된 암호화폐의 경우, 이러한 종류의 버그는 단순한 기술적 결함을 넘어 해당 암호화폐의 근본적인 가치와 신뢰성에 심각한 위협이 될 수 있습니다. XRP 보유자들은 1000억 개라는 희소성에 기반한 가치를 기대하고 투자하는데, 만약 이 상한선이 무너질 가능성이 있었다는 사실만으로도 시장 심리에 부정적인 영향을 미칠 수 있습니다.

이 버그는 수백 건의 신중하게 구성된 거래를 필요로 했으며, 조작된 비용이 거의 0에 가까운 값으로 롤오버되는 동안 판매자 계정은 전액 결제를 받는 방식을 포함했습니다. 이러한 정교한 과정을 거쳐야만 발현될 수 있었기 때문에, 일반적인 사용자 활동으로는 해당 버그에 근접조차 하지 못했고, 결과적으로 오랫동안 탐지되지 못했던 것으로 보입니다.

암호화폐 업계에서는 이러한 잠재적 위험을 줄이기 위해 지속적인 감사와 보안 강화 노력이 필수적임을 보여주는 사례입니다. 또한, 블록체인 기술의 투명성과 개방성이 때로는 예상치 못한 취약점을 드러낼 수도 있음을 시사합니다. RippleX는 이번 버그 수정을 통해 XRP 원장의 안정성을 다시 한번 확보했으며, 향후 유사한 문제가 발생하지 않도록 보안 프로토콜을 더욱 강화할 것으로 예상됩니다.

결론적으로, XRP 원장의 1000억 개 총 발행량 상한선을 위협할 수 있었던 11년 된 버그가 발견되었지만, 실제 악용 사례는 없었으며 즉각적인 패치로 문제가 해결되었습니다. 이 사건은 암호화폐 시스템의 복잡한 보안 문제와 지속적인 감사의 중요성을 강조하는 계기가 되었습니다.