XRP 레저블, 무제한 XRP 생성 버그에 대한 긴급 패치 방어
Tapbit WireXRP 레저블 개발팀은 네트워크의 고정 공급량을 초과해 XRP를 생성할 수 있는 버그를 수정하기 위한 긴급 보안 패치를 방어하며, 이 결함을 공격자에게 노출시키지 않기 위해 네트워크의 일반적인 2주간 검증자 투표를 기다릴 수 없었다고 밝혔다.
이 패치는 9월 25일에 배포되었으며, 버그 바운티 신고 후 사흘 만에 나온 것으로, 설치한 서버에서는 즉시 적용되었다. 개발팀은 이 조치가 도입된 지 10년 넘어서 처음으로 정상 개정 절차를 의도적으로 우회한 사례라고 밝혔다.
XRPL 개발팀은 일요일 X 게시물에서 '정상 개정 투표 절차를 거치면 패치 내용이 효과 발효 전 수 주간 공개되어 네트워크 보안을 위협할 수 있었다'고 밝혔다.
신속한 패치는 XRPL의 탈중앙화 수준에 대한 논란을 불러왔다. XRPL 웹사이트는 이를 완전히 탈중앙화된 공공 블록체인으로 소개하며, 이는 토큰 XRP가 증권이 아니라는 주장을 뒷받침하는 핵심 근거로 활용돼 왔다.
XRPL 보안 패치가 '많은 질문을 불러일으켰다'
사이버 캐피털 창립자 저스틴 본스는 목요일, 소매 투자자에게 XRP를 탈중앙화된 자산으로 마케팅하는 행위는 '직접적인 사기'라고 주장했다. 그는 9월 25일 긴급 릴리스가 바이너리 형태로만 제공되고 소스코드가 일시적으로 공개되지 않았으며, 운영자들에게 업그레이드를 압박했다고 지적했다.
하지만 XRPL 재단은 정상 개정 절차 생략 결정이 재단, 리플엑스, 코어 개발자 및 검증자들이 공동으로 버그 심각성을 평가한 후 내린 것이라고 밝혔다.
재단은 '단일 당사자가 독단적으로 이 결정을 내릴 수 없었다. 모든 검증자와 노드 운영자는 실행할 소프트웨어를 스스로 선택하며, 버전 3.4.1은 2주간 80% 이상 검증자의 지지를 얻은 정상 개정 투표를 통해 필수화되었다. 프로토콜 변경은 여전히 개정 절차를 거친다'고 설명했다.
독립 검증자 운영사 XRP 쿠웨이트도 협조적 업그레이드가 중앙집중적 통제를 의미한다는 주장을 반박했다.
그들은 '운영자 간 업데이트 조율 자체가 중앙집중적 통제의 증거라는 주장에는 동의하지 않는다. 조율은 통제와 동의어가 아니다. 독립 운영자들은 상황을 평가하고, 서로 소통하며 동일한 결론에 도달할 수 있으며, 이 과정에서 자율성은 유지된다'고 밝혔다.
버그로 인해 무제한 XRP가 생성될 수 있었다
프로젝트의 취약점 공개 보고서에 따르면, 이 버그는 2015년부터 존재해 온 XRP 레저블 지불 엔진의 정수 오버플로우였다.
XRP 잔고는 최대값이 고정된 64비트 정수로 저장된다. 합계가 이 최대값을 초과하면 계산이 실패하지 않고 작은 값으로 순환된다.
공격자는 수백 개의 특수 가격 제안을 만들어 각각 매우 큰 XRP 금액을 요구한 후, 이 제안들을 모두 소비하는 단 하나의 지불을 보내는 방식으로 이 버그를 악용할 수 있다.
엔진은 각 제안 소유자에게 전체 금액을 지급하지만, 구매자에게는 순환된 미미한 총액만 부과한다. 이 차액은 새로 생성된, 사용 가능한 XRP가 된다.
보고서에 따르면, 이 공격은 의도적으로 구성된 제안을 필요로 하며 일반 거래 활동으로는 유발될 수 없다. 개발팀은 이 문제가 어느 공개 네트워크에서도 악용된 증거를 발견하지 못했다고 밝혔다.
잡지: 장부 공격, EU로 확산… AI, '18조 XRP' 버그 발견 — 홀더즈 다이제스트
