XRP 레저(XRPL) 개발진이 XRP를 무단으로 생성할 수 있었던 서버 소프트웨어 취약점을 수정하고 상세 내용을 공개했다.

장기간 코드에 남아 있던 결함이지만, 실제 공개 네트워크에서 악용된 증거는 확인되지 않았다고 밝혔다.

XRPL 공식 개발자 사이트가 지난 9일 공개한 보고서에 따르면 해당 취약점은 올해 9월 22일 버그바운티 프로그램을 통해 보고됐다.

조사 결과 현재 결제 엔진이 작성된 2015년부터 존재했을 가능성이 제기됐다. 따라서 ‘2015년에 발견된 취약점’이 아니라 당시 작성된 코드에서 비롯된 결함이 최근 발견된 사례다.

문제는 결제 금액을 합산하는 과정에서 발생할 수 있는 정수 오버플로 오류였다. 특정 조건에서 계산값이 허용 범위를 넘으면 정상적으로 오류 처리되지 않아 네트워크 규칙상 존재해서는 안 되는 XRP가 생성될 가능성이 있었다. XRP 추가 생성을 막는 별도의 안전 검사도 같은 계산 문제의 영향을 받을 수 있었다.

개발진은 이를 악용할 경우 생성된 XRP를 일반 계정에 보관하거나 이전·거래할 수 있어 심각한 문제로 이어질 수 있었다고 설명했다.

다만 이는 취약점의 잠재적 영향에 대한 평가이며, 실제 무단 발행이나 피해가 발생했다는 의미는 아니다.

수정 사항은 지난달 25일 배포된 서버 소프트웨어 ‘xrpld 3.4.1’에 포함됐다. 개발진은 업데이트를 먼저 제공한 뒤 이번 보고서를 통해 취약점과 대응 내용을 공개했다.

공식 보고서는 공개 네트워크에서 해당 결함이 악용됐다는 증거를 발견하지 못했다고 명시했다.

이번 사례는 XRP 공급 규칙을 위협할 수 있는 결함을 발견해 보완한 보안 대응으로 실제 해킹 피해 사건과는 구분된다.