리플, 고정 공급량 위협한 XRP 중대 버그에 대응

리플, XRP 고정 공급량에 대한 위협에 대응

중대한 결함으로 인해 무단 XRP 생성이 가능했을 수 있어, 리플은 XRP 원장(XRPL) 전반에 걸쳐 보안을 강화했습니다. 공개 블록체인 개발을 지원하는 리플의 사업부인 리플엑스(RippleX)의 엔지니어링 수석 이사인 J. 아요 아키니엘레(J. Ayo Akinyele)는 전날 취약점이 공개된 후 10월 10일 X를 통해 대응 방안과 보안 우선 순위를 설명했습니다.

보안 기업 베리아 랩스(Veria Labs)가 개발한 취약점 탐지 시스템인 베리아 AI(Veria AI)는 연구자들이 취약점을 신고하면 보상하는 네트워크의 버그 바운티 프로그램을 통해 이 문제를 발견하는 데 기여했다. 아키니엘레는 다음과 같이 밝혔다.

"이 버그는 코드베이스에 10년 넘게 존재해 왔으며, 이로 인해 XRP의 고정된 공급량을 초과하여 XRP가 생성될 수 있었을 것입니다."

이러한 무단 토큰 생성 가능성은 네트워크 출범 당시 1,000억 XRP 전량이 생성되면서 설정된 한도를 위협하는 것이었다. XRP 레저의 거래 시스템은 새로운 코인을 채굴하는 대신, 검증자들이 결제 유효성과 순서에 대해 합의하는 방식을 기반으로 합니다. 아키니엘레는 개발자들이 패치를 철저히 테스트하고, 공개 전에 해당 운영자들과 협력하여 신속한 업그레이드를 진행했다고 설명했습니다.

버그로 인해 무단 XRP가 생성될 수 있었던 경위

결제 엔진은 특수하게 조작된 거래 제안에 대해 지불해야 할 금액을 잘못 계산하여, 판매자가 구매자가 지불한 금액보다 더 많은 XRP를 수령할 수 있게 만들 수 있었다. 이 결제 엔진의 오버플로 결함은 산술 연산이 수치 한계를 초과하여 총합을 잘못 계산해 너무 작은 값을 반환하는 문제였다. 이 수정 사항은 9월 25일, 거래를 처리하고 원장 기록을 관리하는 서버 소프트웨어인 xrpld 3.4.1 버전을 통해 배포되었다. 조사관들은 공개 네트워크에서 이 결함이 악용된 증거를 발견하지 못했다.

이번 발견은 리플이 인공지능에 더욱 집중하고 취약점을 더 신속하게 파악해야 할 필요성을 부각시켰습니다. 리플의 한 임원은 다음과 같이 강조했습니다.

"AI는 취약점을 발견하는 속도를 근본적으로 변화시키고 있습니다."

그의 발언은 더 강력한 버그 보상 프로그램, AI 지원 검색 확대, 그리고 결함을 노출하기 위해 공격을 시뮬레이션하는 적대적 테스트(adversarial testing)의 필요성을 시사합니다. 통제된 공격을 수행하는 전문가들로 구성된 내부 레드 팀이 이 작업을 지원합니다.

이러한 우선순위는 개발 초기 단계에서 문제를 조기에 탐지하기 위한 코드 스캔 및 검토를 포함한 리플의 선제적인 AI 보안 노력을 기반으로 합니다. 외부 연구자 및 XRPL 재단과 협력하여, 이 팀은 결제, 거래 합의, 서버 간 통신 분야에서 오랫동안 유지되어 온 가정들을 재검토할 예정입니다. 잠재적 위협에 대한 최신 평가 결과가 이러한 검토의 지침이 될 것입니다.

리플, 개별 버그를 넘어선 위험 요소에 주목

리플은 또한 블록체인 연구개발 기업인 커먼 프리픽스(Common Prefix) 및 XRPL 재단과의 협력을 통해 수학적 검증을 가속화할 계획이다. 이들의 작업은 XRP 원장 소프트웨어에 형식적 검증을 적용하여 모델링된 동작이 정의된 규칙을 따르는지 평가한다. 아키니엘레는 이러한 접근 방식이 다른 테스트 방법으로는 놓칠 수 있는 더 근본적인 문제들을 밝혀낼 수 있다고 설명했다.

대출 프로토콜(Lending Protocol)과 단일 자산 금고(Single Asset Vault)에 대한 기존의 검증 작업이 이러한 확장에 참고 자료가 될 것입니다. XRPL 대출 프로토콜 설계는 원장 내에서 대출 및 상환을 처리하는 한편, 차입자 평가는 원장 외부에서 이루어지도록 되어 있습니다. 메인넷 가용성은 필수 수정 사항의 활성화, 즉 검증자들이 승인한 네트워크 규칙 변경에 달려 있습니다.

관련 볼트는 예금자들로부터 한 가지 유형의 자산을 모아, XRPL 상에서 대출 및 기타 기능을 위한 기관 자본 풀을 지원하도록 설계되었습니다. 아키니엘레는 금융 인프라 사용의 증가가 더 큰 책임을 수반한다고 언급하며, 커뮤니티와 함께 지속적인 투자를 이어가겠다고 약속했습니다. 그는 다음과 같이 강조했습니다.

"우리의 목표는 단순히 더 많은 버그를 찾는 것이 아닙니다. 근본적인 위험 요소를 체계적으로 해결하고, XRPL이 악용되기 어렵게 만드는 것입니다."