XRP 레저, 소각 권한만 받은 계정의 발행 허점 막았다

XRP 레저(XRP Ledger)가 4일 오후 11시 52분(한국시간) ‘fixCleanup3_4_0’ 수정안을 활성화했다. 토큰 소각 권한만 위임받은 계정이 특정 조건에서 새 토큰을 발행할 수 있었던 경로를 차단하는 조치다.

XRPL 대시보드의 원장 추적 기록과 활성화 거래 기록은 1억811만2129번 원장에서 ‘EnableAmendment’ 거래로 수정안이 적용된 사실을 보여준다. XRP 레저 공식 수정안 문서는 ‘PaymentBurn’ 권한만 받은 계정이 발행 권한 없이도 토큰을 만들 수 있는 경우가 있었다고 설명한다.

사전 예상 시각은 4일 오후 11시 46분(한국시간)이었으며 실제 활성화는 같은 날 오후 11시 52분 이뤄졌다.

계정 권한 위임은 소유자가 다른 계정에 일부 거래 권한을 맡기는 기능이다. 위임받은 계정은 부여받은 범위 안에서 거래를 처리한다.

‘PaymentBurn’은 발행 토큰을 소각하는 결제 권한이고, ‘PaymentMint’는 새 토큰을 발행하는 결제 권한이다. 두 권한의 용도는 다르지만, 수정 전에는 소각 권한만으로 발행까지 이어질 수 있는 거래 경로가 있었다.

허점은 위임 계정이 발행 토큰을 결제해 잔액이 0 아래로 내려가는 거래에서 발생할 수 있었다. 이번 수정안은 그런 거래를 거부한다.

위임 계정에 별도의 ‘PaymentMint’ 권한도 부여돼 있다면 해당 거래는 처리할 수 있다. XRP 레저 공식 문서는 다른 세부 위임 권한은 이 허점의 영향을 받지 않는다고 설명한다.

수정 대상은 XRP 레저에서 발행된 트러스트라인 토큰과 다목적 토큰(MPT)이다. 두 종류 모두 발행자가 만든 대체가능 토큰이다.

XRP는 XRP 레저의 네이티브 자산으로, 이번 권한 검증의 대상인 발행 토큰과 다르다. 이번 수정이 XRP 자체 공급량을 바꾸는 것은 아니다.

‘fixCleanup3_4_0’은 이 허점만 다루는 수정안이 아니다. XRP 레저 서버 소프트웨어 3.4.0 변경 내역에는 금고 회계, 에스크로 준비금, MPT 검증, 자동화된 시장조성자(AMM), 거래 서명 관련 수정도 포함됐다.

대출 관련 오류를 고치는 항목도 들어 있지만, 대출 기능은 별도의 수정안 절차를 거친다. 따라서 이번 활성화를 대출 기능의 적용으로 볼 수는 없다.

XRP 레저의 수정안은 신뢰 검증자의 80% 초과 지지를 2주 동안 유지해야 네트워크에 적용된다. 검증자 지지가 기준 아래로 내려가면 활성화 예상 일정이 다시 계산될 수 있다.

XRP 레저 공식 권한 문서에는 수정안 활성화 전까지 ‘PaymentBurn’ 권한을 위임하지 말라는 경고가 남아 있다. 네트워크 적용 여부는 문서의 경고 문구가 아니라 원장의 활성화 기록으로 확인된다.

과거 허점이 실제로 악용됐는지, 영향을 받은 계정이나 토큰이 몇 개인지, 피해가 발생했는지는 확인되지 않았다. 원장 기록은 수정안의 활성화를 보여주지만 과거 악용 여부나 피해 내역까지 제시하지는 않는다.

바이낸스 스퀘어의 한 이용자는 수정안이 XRP 생태계에 미칠 영향을 물었지만, 단일 게시물이 업계 전반의 반응을 대표하지는 않는다. 수정안과 시장 가격 움직임의 인과관계도 확인되지 않았다.