XRP 생성 취약점 패치 뒤 공개…표결은 보고서 공개 9일 전

김민준 기자 2026.10.14 03:05

토포AI로 이 기사 더 깊이 읽기

XRPL 결제 엔진에서 XRP를 새로 생성할 수 있는 정수 오버플로 취약점이 발견돼 수정됐고, 관련 보고서는 합병 승인 투표 9일 뒤 공개됐다. 에버노스와의 합병안에 찬성한 주체는 당시 상장 전인 아마다 어퀴지션Ⅱ 주주였다.

미국 증권거래위원회(SEC)에 제출된 자료에는 아마다 어퀴지션Ⅱ 주주총회가 9월 30일 열렸다고 기록됐다. 합병이 끝난 뒤 결합 회사는 나스닥에서 XRPN으로 거래할 예정이었다. 합병은 10월 9일 마무리됐다.

XRPL은 10월 9일 공개한 취약점 보고서에서 결제 엔진의 정수 오버플로가 특정 조건에서 XRP를 새로 만들어낼 수 있었다고 밝혔다. 연구자는 9월 22일 버그 바운티 프로그램을 통해 문제를 보고했고, XRPL 개발팀은 이를 재현해 수정했다. XRPL은 같은 보고서에서 공개 네트워크에서 악용된 증거를 제시하지 않았다.

수정판 xrpld 3.4.1은 9월 25일 배포됐다. XRP 오버플로 수정은 검증인 투표를 기다리는 방식이 아니라 서버가 수정판으로 업데이트될 때 적용됐다. 같은 보고서에 담긴 배치 거래 취약점 수정은 별도 절차를 거쳐 10월 9일 메인넷에서 활성화됐다.

SEC 제출 자료에는 XRPL의 일반적인 네트워크·암호기술 위험이 언급됐지만, 이번 오버플로 취약점을 구체적으로 설명한 내용은 확인되지 않는다. 공개 자료만으로 개별 주주에게 전달된 자료나 비공개 안내까지 판단할 수는 없다. 따라서 주주들이 취약점을 몰랐다고 단정하기는 어렵다.

XRPL 보고서는 취약점이 현재 결제 엔진이 작성된 2015년부터 존재했을 가능성을 제시했다. 공격자는 여러 주문을 한 번의 결제로 처리하도록 조작해 XRP 합계 계산에서 오버플로를 일으킬 수 있었다. 정수 오버플로는 계산값이 정수형 변수의 표현 범위를 넘어 예상과 다르게 바뀌는 오류다.

Veria Labs는 별도 기술 분석에서 공격 재현 시 약 18조 XRP가 생성될 수 있다고 계산했다. 이는 연구팀이 제시한 공격 시나리오의 수치로, 실제 발행량을 뜻하지 않는다. XRPL은 10월 9일 공개한 취약점 보고서에서 공개 네트워크에서 악용된 증거를 제시하지 않았다.

토큰포스트는 앞서 XRP 오버플로 취약점이 패치됐다고 보도했다. 이번에 추가로 확인된 것은 취약점 보고서 공개일과 합병 표결일의 차이다. 보고서는 주주총회보다 9일 뒤 공개됐으며, 표결 전에 주주에게 별도 설명이 전달됐는지는 공개 기록으로 확인되지 않는다.