리플이 XRP 레저(XRPL)의 10년 묵은 결함을 신고한 업체에 최고 포상금 25만달러를 지급하자 보상 규모를 놓고 논란이 일고 있다. 블록체인 조사관 잭XBT는 12일 결함의 파급력에 비해 보상이 지나치게 적다고 비판했다.
14일 가상자산 업계에 따르면 이 결함은 결제 거래 단 한 건으로 XRP 약 18조개를 새로 찍어낼 수 있는 구조였다. XRP 발행 한도인 1000억개의 180배가 넘는 물량이다.
결함을 찾아낸 곳은 인공지능(AI) 보안 스타트업 베리아랩스다. 케이든 리아오 공동창업자는 자사 AI 에이전트가 결함을 발견하고 실제 공격 코드까지 만들어냈다고 밝혔다.
원인은 결제 엔진의 계산 오류였다. 여러 주문을 한꺼번에 체결할 때 합계가 허용 범위를 넘는지 검사하지 않았고, 공급량 보호 장치도 같은 계산에 의존해 새 XRP 생성을 걸러내지 못할 수 있었다.
베리아랩스는 9월 22일 결함을 비공개로 신고했고, 리플엑스는 사흘 뒤인 9월 25일 수정판 3.4.1을 배포했다. 리플엑스는 9일 결함을 공개하며 실제 악용이나 무단 발행 흔적은 없다고 설명했다.
이번 수정은 검증인 투표를 거치는 통상 절차 없이 서버 업그레이드만으로 적용됐다. 투표 기간에 결함이 노출되는 것을 막기 위해서였고, 10년 넘는 XRPL 운영 기간 중 이 절차를 의도적으로 건너뛴 첫 사례다.
잭XBT는 보상이 낮으면 연구자가 신고 대신 악용을 택할 수 있다고 지적했다. 다른 블록체인 가운데 레이어제로는 치명적 결함에 최대 200만달러, 웜홀은 최대 1000만달러를 내걸고 있다.
XRPL 재단 기여자 벳은 이런 우려에 공감한다며 포상 프로그램을 보강하고 있다고 밝혔다. 리플이 포상 상한을 실제로 올릴지, 베리아랩스에 별도 보상을 할지가 논란의 방향을 가를 변수다.