XRP레저서 18조개 무단 발행 가능했던 치명적 결함 발견…AI가 찾아냈다

XRP레저(XRPL)에서 단 한 번의 거래로 최대 18조개의 엑스알피(XRP)를 무단 생성할 수 있는 치명적인 보안 취약점이 발견돼 개발진이 긴급 패치에 나섰다.

11일(현지시간) 더블록이 인용한 XRP레저(XRPL) 개발진이 공개한 보안 보고서에 따르면 이번 취약점은 결제 엔진의 금액 합산 과정에서 발생하는 정수 오버플로 오류로, 2015년부터 코드에 존재했던 것으로 확인됐다. 다만 실제 공개 네트워크에서 해당 취약점이 악용된 정황은 발견되지 않았다.

문제는 여러 매도 주문을 한 번에 체결하는 과정에서 발생했다. 공격자가 수백 개의 계정을 만들어 비정상적으로 높은 가격에 소량의 토큰을 매도하도록 설정한 뒤, 단일 거래로 모든 주문을 체결하면 결제 금액이 잘못 계산되는 방식이다. 이 경우 매도자들은 정상적으로 엑스알피를 지급받지만 매수자에게는 극히 적은 금액만 청구될 수 있다. 신규 엑스알피 생성 여부를 검증하는 과정에도 유사한 오류가 있어 부당 발행을 차단하지 못하는 것으로 나타났다.

이번 취약점을 발견한 보안업체 베리아랩스(Veria Labs)의 공동창업자 케이든 랴오는 10일 엑스(X)를 통해 "AI 에이전트가 취약점을 발견하고 실제 작동하는 공격 코드를 구현했다"고 밝혔다. 그의 분석에 따르면 단 한 번의 공격 거래로 약 18조개의 엑스알피를 생성할 수 있었다. 이는 엑스알피 최초 발행량인 1000억개의 약 184배에 달한다.

랴오는 "개별적으로는 심각도가 낮은 두 가지 오류가 결합하면서 치명적인 취약점이 발생했다"며 "이 때문에 오랜 기간 문제가 발견되지 않았을 가능성이 있다"고 설명했다. 리플은 취약점을 발견한 베리아랩스에 최고 등급의 버그 신고 포상금인 25만달러를 지급했다.

베리아랩스는 지난달 22일 해당 취약점을 신고했으며, 리플엑스(RippleX)는 사흘 뒤인 25일 수정 사항을 반영한 xrpld 3.4.1 버전을 배포했다. 당시 XRP레저의 기본 신뢰 검증인 목록(UNL)에 포함된 검증인 중 80% 이상이 업데이트를 완료했다.

특히 이번 패치는 통상적인 네트워크 개정안 투표 절차를 거치지 않고 적용됐다. XRPL은 일반적으로 규칙 변경 시 검증인 80% 이상의 지지를 2주간 유지해야 하지만, 이번에는 서버 업데이트와 동시에 수정 사항이 적용되도록 했다. 개발진은 기존 절차를 따를 경우 취약점이 공개된 뒤 실제 수정 사항이 활성화되기까지 공격에 노출될 수 있다고 판단했다.

다만 보안 패치 과정에서 약 2주간 소스코드 공개가 지연되면서 논란도 불거졌다. 저스틴 본스 사이버캐피털 창업자는 "엑스알피가 지난 2주간 비공개 소스코드로 운영됐다"고 비판했다. 이에 마유카 바다리 리플엑스 엔지니어는 "AI 기술의 발전으로 공개된 보안 패치를 즉시 분석해 취약점을 역추적할 수 있게 됐다"며 긴급 대응의 필요성을 강조했다.

리플엑스는 이번 사건을 계기로 AI 기반 취약점 탐지와 정형 검증을 확대할 방침이다. J. 아요 아킨옐레 리플엑스 엔지니어링 책임자는 "AI가 취약점을 발견하는 속도를 근본적으로 바꾸고 있다"고 밝혔다.