코인 무제한 복사 터질 뻔…리플 10년 숨긴 '치명적 결함'

엑스알피(XRP, 리플)의 발행 한도를 뚫고 코인을 무제한 생성할 수 있는 치명적인 보안 결함이 10여 년 만에 발견됐다.

암호화폐 전문 매체 핀볼드는 12일(현지시각) 인공지능(AI) 보안 시스템이 2015년부터 잠복해 있던 결제 엔진의 취약점을 찾아냈으며, 개발진이 긴급 보안 패치를 마쳤다고 보도했다. 10년간 잠복한 공급량 우회 결함이 드러나면서, 온체인 거래량이 급증하는 주요 메인넷의 보안 검증 체계를 근본적으로 재편해야 한다는 목소리가 커지고 있다.


이번에 드러난 보안 취약점은 블록체인 보안기업 베리아랩스의 자율형 AI 보안 에이전트와 연구원 케이든 랴오가 포착했다. 해당 결함은 2015년부터 코드 내에 존재했으나, 그동안 인간 전문가들이 수행한 수차례의 보안 감사에서는 단 한 번도 걸러지지 않았다.
연구진 분석에 따르면 공격자가 정교하게 설계된 단일 거래를 전송할 경우, 결제 엔진 내부에서 오버플로가 발생하며 프로토콜 보안 검증 단계를 무력화할 수 있었다. 이 취약점이 악용됐다면 승인받지 않은 신규 토큰이 무제한으로 발행되어 유통량 통제 체계가 완전히 무너질 수 있는 구조였다. 베리아랩스는 이 같은 결함을 입증하고 25만 달러의 버그바운티(보안 포상금)를 받았다.


취약점의 파괴력에도 시장 충격은 제한적이었다. 리플 네트워크의 기반인 XRP 레저는 사건 전후로도 견고한 거래 활동을 유지했다. 블록체인 분석 플랫폼 엑스알피스캔 기준 누적 원장 처리 건수는 1억 760만 4219건에 달했고, 최근 30일간 처리된 거래는 6639만 9887건을 기록했다.

크립토퀀트 데이터에 따르면 전체 계정 수도 864만 5237개로 꾸준히 늘었다. 가격 지표도 흔들리지 않았다. 코인마켓캡 집계 기준 리플은 1.40달러 선을 유지하며 30일 기준 2.07% 상승세를 지켰다. 24시간 거래량은 88% 급증해 15억 5000만 달러에 이르렀다.

이번 사건은 금융 네트워크 수준의 블록체인이라 하더라도 초기 코드 설계의 미세한 결함이 10년 이상 방치될 수 있음을 보여준 대표적 사례로 꼽힌다. 사람이 직접 줄 단위로 코드를 검증하는 전통적 보안 감사의 명백한 한계가 증명된 셈이다.

블록체인 생태계의 신뢰성은 사람이 작성한 코드를 인간 감사가 완벽히 검증할 수 없다는 구조적 한계를 인정하는 데서 출발한다. 자율형 보안 에이전트 도입을 통한 상시 검증망이 정착되지 않는다면 대형 메인넷의 코드 리스크는 상존할 수밖에 없다.

XRP 레저 재단은 "총공급량 1000억 개 제한을 우회할 수 있었던 문제는 3.4.1 버전에서 완전히 해결됐다"라며 "모든 데이터가 공개된 블록체인의 투명성을 바탕으로 네트워크 신뢰성을 지켜나갈 것"이라고 밝혔다.

이용수 글로벌이코노믹 기자 piscrait@g-enews.com