탐정 ZachXBT, 18T XRP 버그에 25만 달러 헐값 보상금 맹비난

ZachXBT, XRP 무한 공급 버그에 대한 ‘헐값’ 25만 달러 보상금 비판

블록체인 보안과 중대한 버그에 대한 현상금 가치에 대한 공개적인 논쟁이 벌어지고 있으며, XRP 레저 재단이 그 중심에 서 있다.

최근 중국 암호화폐 자금 세탁 조직에 잠입했다고 발표한, 유명하면서도 논란의 중심에 선 블록체인 탐정 ZachXBT는, 악용될 경우 XRP 시가총액에 재앙을 초래할 수 있었던 중대한 버그를 공개한 화이트햇 연구원들을 리플과 리플 레저 재단이 대하는 방식에 대해 비판했다.

10년 넘게 XRP 코드베이스에 존재했던 이 버그는 공격자가 단 한 번의 거래로 18조 XRP를 허공에서 만들어낼 수 있게 했을 것이며, 이는 해당 코인의 고정 총 공급량(1,000억 토큰)의 184배에 달하는 양이다. 이 버그는 9월 22일에 보고 및 확인되었으며, 9월 25일에 수정 코드가 작성되어 배포되었다. 이후 80% 이상의 검증자가 새 버전으로 업그레이드함에 따라 이 취약점을 악용하는 것은 무의미해졌다.

이 버그 발견에 대한 보상으로, 베리아 랩스(Veria Labs)의 공동 창립자인 카이델 리아오(Caydel Liao)는 리플 팀의 버그 바운티 프로그램에서 제공하는 최대 금액인 25만 달러를 수상했다. 리아오는 소셜 미디어를 통해, 이번 보상이 전적으로 AI 에이전트가 발견한 취약점에 대해 지급된 사상 최대 금액이라고 믿는다고 밝혔다.

그럼에도 불구하고 ZachXBT는 보고된 버그의 심각성과 잠재적 영향력을 고려할 때 이 금액은 불충분하다고 지적했다.

“수십억을 보유한 상황에서 치명적인 무한 XRP 공급 버그를 발견한 화이트햇에게 25만 달러라는 헐값을 지급하다니? 다음 번에는 공격자가 선의로 보고하는 대신 9자리 수의 이익을 얻기 위해 이 버그를 악용하도록 돕는 셈이네요.” ZachXBT는 이렇게 평가하며, 이러한 조치가 리플을 진지한 조직으로 보는 데 부정적인 시각을 조장하는 데 기여했다고 강조했다.

XRP 레저 재단의 기여자인 Vet은 ZachXBT의 견해에 동의하며, 재단이 버그 바운티 프로그램을 강화하고 있음을 강조했다. 그는 또한 재단이 버그 바운티 프로그램 외에도 버그 바운티 헌터들과 상업적 계약을 체결했다고 밝혔다.

“위험에 처한 가치를 고려할 때 인센티브 구조가 매력적으로 유지되도록 해야 합니다. 결국 우리는 화이트햇을 지원하고자 하며, 이는 라자루스(Lazarus)와 맞서 싸우는 것보다 훨씬 낫습니다,”라고 그는 결론지었으나, 이 특정 사례에 대한 추가 보상 금액은 공개하지 않았습니다.

지난 8월, ZachXBT는 ColdCard 악용 사건의 피해자들에게 추적 지원을 제공하기를 거부하며, 자신의 시간을 자신의 작업을 높이 평가하는 생태계에 집중하고 있다고 설명했습니다.