XRP Ledger 개발자들은 네트워크의 고정된 공급량을 넘어 XRP를 생성할 수 있는 버그를 수정하는 데 사용된 긴급 보안 패치를 방어하며, 네트워크의 통상적인 2주간 검증자 투표를 기다리면 해당 결함이 공격자들에게 노출될 수 있어 기다릴 수 없었다고 말했다.
9월 25일 공개된 이 수정 사항은 버그 바운티 보고서가 나온 지 3일 후에 적용됐으며, 이를 설치한 모든 서버에서 즉시 효력을 발휘했다. 개발자들은 이 조치가 시스템 도입 후 10년 넘게 정상적인 수정안 절차를 의도적으로 우회한 첫 사례였다고 말했다.
“정상적인 수정안 투표를 거쳤다면 수정 사항이 적용되기 몇 주 전부터 공개됐을 것이며, 네트워크 보안을 위협했을 것”이라고 일요일 X 게시물에서 XRPL 개발자들이 말했다.
신속한 수정 조치는 XRPL의 탈중앙화 수준에 대한 의문을 불러일으켰다. XRPL은 웹사이트에서 자신을 완전히 탈중앙화된 공공 블록체인이라고 주장하며, 이러한 설명은 자체 토큰인 XRP가 증권이 아니라는 주장의 핵심이 되어 왔다.
XRPL 보안 수정 조치가 “많은 의문을 제기했다”
Cyber Capital 설립자 저스틴 본스는 목요일 XRP를 탈중앙화된 자산으로 개인 투자자들에게 마케팅한 것은 “명백한 사기”에 해당한다고 말했다. 그는 9월 25일 긴급 릴리스가 바이너리로만 배포됐고, 소스 코드가 일시적으로 공개되지 않았으며, 운영자들에게 업그레이드를 압박했다고 주장했다.
그러나 XRPL 재단은 정상적인 수정안 절차를 건너뛰기로 한 결정이 버그의 심각성을 평가한 뒤 재단, RippleX, 핵심 개발자 및 검증자들이 공동으로 내린 것이라고 밝혔다.
“어느 한 주체도 그 결정을 혼자 내릴 수 없었다. 모든 검증자와 노드 운영자는 어떤 소프트웨어를 실행할지 선택하며, 3.4.1은 80%가 넘는 검증자 지지가 2주 동안 이어진 정상적인 수정안 투표를 통해서만 필수가 됐다. 프로토콜 변경은 여전히 수정안을 거친다”고 재단은 말했다.
관련 기사: Ledger, 승인되지 않은 하드웨어 임플란트 확인…손실액 8,600만 달러 넘을 수 있다고 밝혀
독립적인 검증자 운영자인 XRP Kuwait도 조율된 업그레이드가 중앙집중식 통제를 의미한다는 주장을 거부했다.
“운영자들이 업데이트를 조율했다는 사실 자체가 중앙집중식 통제의 증거라는 주장에 동의하지 않는다”고 밝혔다. “조율은 통제와 같지 않다. 독립적인 운영자들은 독립성을 포기하지 않고도 상황을 평가하고 서로 소통하며 같은 결론에 도달할 수 있다.”
버그로 무제한 XRP 발행 가능
프로젝트의 취약점 공개 보고서에 따르면 이 버그는 XRP Ledger의 결제 엔진에서 발생한 정수 오버플로로, 2015년부터 존재했다.
XRP 잔액은 고정된 최댓값을 가진 64비트 정수로 저장된다. 합계가 그 최댓값을 초과하면 계산이 실패하는 대신 더 작은 숫자로 되돌아갔다.
공격자는 각각 매우 많은 양의 XRP를 요구하는 특별한 가격의 오퍼 수백 개를 만든 다음, 이를 모두 소진하는 결제 한 건을 보내 이 버그를 악용할 수 있었다.
엔진은 각 오퍼 소유자에게 전체 금액을 입금하면서도 구매자에게는 오버플로로 되돌아간 아주 작은 합계만 청구했다. 그 차액이 새로 생성된 뒤 사용할 수 있는 XRP가 됐다.
보고서에 따르면 이 공격에는 의도적으로 구성된 오퍼가 필요했으며, 정상적인 거래 활동으로는 촉발될 수 없었다. 개발자들은 어떤 공개 네트워크에서도 이 문제가 악용됐다는 증거를 찾지 못했다고 밝혔다.