XRP 18조개 생성 가능한 결제 취약점 패치됐다

서지우 기자 2026.10.13 23:59

토포AI로 이 기사 더 깊이 읽기

네트워크 장비에 적용되는 서버 소프트웨어 업데이트 / TokenPost.ai

리플(XRP) 발행량 상한을 우회해 단일 거래에서 약 18조4500억 XRP를 만들 수 있는 XRP Ledger(XRPL) 결제 엔진 취약점이 패치됐다. XRPL 개발진은 공개 네트워크에서 취약점이 악용된 증거는 없다고 밝혔다.

XRPL은 9월 25일 서버 소프트웨어 ‘xrpld’ 3.4.1을 긴급 배포했다. XRPL이 10월 9일 공개한 취약점 보고서에 따르면, 결제 엔진이 여러 탈중앙화 거래소 주문을 한 번에 처리할 때 필요한 XRP 총량을 잘못 계산하는 정수 오버플로가 발생할 수 있었다. 공격자는 특수하게 구성한 주문과 단일 결제를 이용해 새 XRP를 만들고 사용할 수 있었다.

XRPL 보고서는 결함이 결제 엔진이 작성된 2015년부터 존재했을 가능성을 제시했다. 보안업체 베리아랩스(Veria Labs)는 취약점이 악용되면 단일 거래에서 약 18조4500억 XRP가 생성될 수 있다고 추산했다. 이는 XRPL의 초기 발행량 상한인 1000억 XRP의 184배를 넘지만, 잠재적 생성 규모일 뿐 실제 발행이나 네트워크 피해를 뜻하지는 않는다.

오류는 여러 주문의 결제액을 합산하는 과정에서 생겼다. 합계가 정수 범위를 넘으면 계산 결과가 작은 수로 돌아가 판매자는 주문액을 온전히 받고 구매자는 훨씬 적은 XRP만 내는 상황이 가능했다. XRP 신규 생성을 막는 장부 검사에도 별도의 산술 오류가 있어 거래를 거부하지 못할 수 있었다고 XRPL 보고서는 설명했다.

베리아랩스는 9월 22일 취약점을 신고했고, 수정안은 다음 날 반영됐다. XRPL은 9월 25일 3.4.1을 배포했으며, 당일 기본 검증자 목록의 80% 이상이 새 버전으로 전환했다고 밝혔다. 베리아랩스는 AI 보안 에이전트가 결함을 찾아 시험 환경에서 작동하는 공격 코드를 만들었다고 설명했다.

패치 적용은 XRPL의 일반적인 프로토콜 변경 절차와 달랐다. 통상 프로토콜 변경은 검증자들의 지지를 모아 일정 기간 뒤 활성화하지만, 이번 오버플로 수정은 서버를 새 버전으로 올리는 즉시 적용됐다. XRPL은 통상 절차를 따를 경우 수정 전 코드가 공개된 뒤 네트워크 보호가 완료될 때까지 취약점이 노출될 수 있어 긴급 배포를 택했다고 밝혔다.

3.4.1에는 배치 거래 기능의 별도 결함 수정도 포함됐다. XRPL은 이 수정안을 10월 9일 메인넷에서 활성화했다. XRP 오버플로 패치는 서버 업데이트와 함께 적용됐고, 배치 거래 수정은 별도의 활성화 절차를 거쳤다. 이번 사건은 공급량 상한을 실제로 넘어선 사례가 아니라, 결제 계산과 상한 보호 장치의 오류가 맞물릴 가능성을 차단한 보안 조치다.