XRP 공급량 치명적 버그 보상금 25만 달러, ZachXBT가 리플을 강하게 비판한 이유

블록체인 조사 전문가 ZachXBT가 XRP 레저(XRP Ledger)에서 발견된 치명적인 보안 취약점을 제보한 연구진에게 지급된 25만 달러(약 3억 원대)의 보상금을 두고 리플을 강하게 비판했다. 해당 취약점이 실제로 악용됐다면 XRP 공급량에 막대한 영향을 미칠 수 있었던 만큼, 보상 규모가 잠재적인 피해에 비해 지나치게 적다는 주장이다.

ZachXBT는 10월 12일 자신의 X(옛 트위터)를 통해 XRP를 기존 공급량 이상으로 생성할 수 있는 취약점을 책임감 있게 신고한 연구자가 고작 25만 달러를 받은 이유에 의문을 제기했다.

그는 “수십억 달러 규모의 자산을 보유하고 있으면서 XRP 공급량을 무제한으로 늘릴 수 있는 치명적인 버그를 발견한 화이트해커에게 25만 달러만 지급한다는 것이냐”고 지적했다.

이어 보안 취약점에 대한 보상이 충분하지 않으면 향후 연구자들이 문제를 신고하기보다 악용하는 방향으로 움직일 가능성이 있다고 경고했다. 리플과 XRP 레저 생태계가 보안 연구자들에게 제공하는 보상 체계의 신뢰성에도 의문을 제기했다.

XRP 레저 취약점 발견 보상금은 최대 25만 달러

이번 논란은 XRP 레저 재단이 보안 취약점과 긴급 수정 조치에 관한 입장을 발표한 이후 불거졌다.

보안 연구원 케이든 랴오(Cayden Liao)와 베리아 AI(Veria AI)는 지난 9월 21일 해당 취약점을 발견했으며, 다음 날 XRPL 버그 바운티 프로그램을 통해 공식적으로 신고했다.

베리아 랩스(Veria Labs)는 10월 8일 프로그램에서 지급할 수 있는 최대 금액인 25만 달러를 받았다고 밝혔다.

회사 측에 따르면 AI 보안 에이전트가 취약점을 찾아냈으며, 실제 공격이 가능하다는 사실을 입증하는 개념증명(PoC) 코드까지 생성했다.

베리아 랩스는 악의적으로 설계된 단 한 건의 거래만으로 약 18조 XRP가 생성될 수 있었다고 추산했다. 이는 XRP의 최초 공급량인 1,000억 개의 180배가 넘는 규모다.

또한 이번에 지급된 25만 달러는 AI 에이전트가 독자적으로 발견한 취약점에 대한 보상 중 회사가 파악한 사례로는 역대 최대 규모라고 설명했다.

그러나 ZachXBT는 실제 공격이 발생했을 경우 초래될 수 있었던 경제적 피해에 비해 보상금 상한선이 지나치게 낮다는 점을 문제 삼았다.

그의 비판은 취약점을 발견한 연구진의 행동이 잘못됐다는 의미가 아니라, 앞으로 보안 연구자들이 취약점을 자발적으로 신고하도록 유도할 충분한 보상이 마련돼 있는지에 초점을 맞추고 있다.

XRP 레저 취약점, 2015년부터 10년 넘게 존재

이번 보상금 논란의 중심에 있는 취약점은 XRP 레저의 결제 처리 엔진에서 발견된 심각한 오류로, 10년 넘게 탐지되지 않은 상태로 남아 있었다.

문제가 된 것은 정수 오버플로(Integer Overflow) 현상이다. 특정 방식으로 구성된 결제 거래가 XRP 레저의 탈중앙화 거래소에서 수백 개의 주문을 처리하는 과정에서 발생할 수 있는 오류였다.

공격자는 이 계산 오류를 악용해 주문 소유자에게는 정상적인 XRP 금액이 지급되도록 하면서도, 실제 결제 계정에서는 전체 금액 중 극히 일부만 차감되도록 조작할 수 있었다.

특히 XRP가 허가 없이 새롭게 생성되는 것을 막기 위해 마련된 기존 안전장치에서도 동일한 오버플로 문제가 발견됐다.

공식 취약점 공개 자료에 따르면 리플X(RippleX) 엔지니어들은 독립적인 테스트 환경에서 공격을 재현하는 데 성공했다.

또한 이러한 방식으로 새롭게 생성된 XRP가 이후 실제로 사용될 수 있다는 사실도 확인했다.

다만 공개 XRP 레저 네트워크에서 해당 취약점이 실제로 악용됐다는 증거는 발견되지 않았다.

리플X, 취약점 신고 사흘 만에 긴급 패치 배포

리플X는 취약점을 신고받은 지 사흘 만인 9월 25일, 문제를 수정한 xrpld 버전 3.4.1을 배포했다.

이번 긴급 업데이트에서는 일반적으로 진행되는 수정안 투표 절차가 생략됐다.

개발진은 취약점을 그대로 노출시키는 위험이 합의 과정에 영향을 미칠 수 있는 수정 사항을 즉시 적용하는 것보다 훨씬 크다고 판단했다.

이에 따라 통상적인 검증인 투표 절차를 거치지 않고 긴급 보안 패치를 적용하는 방식을 선택했다.

업데이트가 배포된 9월 25일 기준, 기본 고유 노드 목록(Unique Node List)에 포함된 검증인 가운데 80% 이상이 이미 새 버전으로 업그레이드를 완료했다.

이를 통해 네트워크는 XRP가 비정상적으로 생성될 수 있는 취약점으로부터 보호받을 수 있게 됐다.

취약점을 발견한 연구진은 약 2주 뒤인 10월 8일 보상금을 지급받았으며, 전체 기술적 세부 내용은 10월 9일 공개됐다.

현재까지 확인된 25만 달러는 해당 버그 바운티 프로그램에서 지급 가능한 최대 보상금이다.

그러나 ZachXBT의 비판 이후, 암호화폐 네트워크의 안전을 위협할 수 있는 중대한 취약점에 대해 어느 정도의 보상이 적절한지를 둘러싼 문제가 제기되고 있다.