“무단 발행 버그 긴급 패치, 재단·리플X·개발자·검증자들의 합의로 결정”
“무단 발행된 발행된 XRP 없어…현재 공급량 약 999억8600만 개”
AI 공격에 대비해 검증 확대 · 보안 테스트 강화 · 버그 바운티 개선

[블록미디어 이정화 기자] XRP 레저 재단(XRP Ledger Foundation)이 치명적인 엑스알피(XRP) 무단 발행 버그를 수정하는 과정에서 탈중앙화 원칙이 훼손됐다는 비판에 공식 반박했다.

긴급 패치는 재단이나 리플이 독단적으로 결정한 것이 아니라 핵심 개발자와 검증자들이 참여한 사회적 합의에 따라 이뤄졌다는 설명이다.

재단은 11일(현지시간) 공식 X 계정을 통해 최근 XRP 레저 보안 패치와 관련해 많은 질문과 오해가 제기됐다며, 무단 발행 여부와 긴급 수정 절차, 향후 보안 강화 계획을 상세히 설명했다.

특히 인공지능(AI)이 취약점을 찾아내는 속도를 빠르게 높이고 있다며, 기존 소스코드에 대한 수학적 검증과 AI 기반 보안 테스트를 대폭 강화하겠다고 밝혔다.

The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let's clear them up.

No. XRP's supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around…

— XRP Ledger Foundation (@XRPLF) October 11, 2026

“누구도 독단적으로 결정하지 않았다”…긴급 패치 절차 해명

이번 논란의 핵심은 지난 9월 25일 배포된 xrpld 3.4.1 업데이트다. 당시 XRPL 개발진은 최대 발행량 제한을 우회해 새로운 XRP를 생성할 수 있는 치명적인 버그를 수정하면서, 수정된 소스코드를 공개하지 않은 상태에서 검증자들에게 긴급 업데이트를 요청했다.

일부 암호화폐 업계 인사들은 검증자들이 코드를 직접 확인하지 못한 상태에서 업데이트를 진행한 것이 탈중앙화 원칙에 어긋난다고 비판했다.

이에 대해 XRPL 재단은 긴급 패치가 어느 한 주체의 일방적인 지시로 이뤄진 것이 아니라고 강조했다. 재단은 XRPL 재단, 리플의 개발 조직 리플엑스(RippleX), 핵심 개발자, 검증자들이 위험을 논의하고 사회적 합의(Social Consensus)를 형성해 수정 프로그램을 즉시 배포하는 방안을 선택했다고 설명했다.

재단은 “어느 한 당사자도 이 결정을 단독으로 내릴 수 없었다”고 밝혔다.

또한 모든 검증자와 노드 운영자는 자신이 실행할 소프트웨어를 직접 선택한다고 강조했다.

재단에 따르면 3.4.1 업데이트가 필수 버전이 된 것도 이후 80% 이상의 검증자 지지가 2주간 유지되는 통상적인 개정안(Amendment) 투표 절차를 거친 결과다. 긴급 패치의 초기 배포와 새로운 프로토콜 규칙을 의무화하는 정식 절차는 구분해야 한다는 설명이다.

“소스코드 공개하면 공격자가 먼저 악용할 위험”

재단은 이번 버그의 심각성을 고려할 때 통상적인 공개 수정 절차를 따르기 어려웠다고 설명했다. 일반적인 개정안 활성화 절차에서는 수정된 소스코드가 실제로 효력을 발휘하기 몇 주 전에 공개된다.

그러나 이번처럼 XRP 공급량 제한을 무너뜨릴 수 있는 취약점의 수정 코드가 공개되면 공격자들이 이를 분석해 문제가 있는 부분을 찾아낼 수 있다는 것이다. AI를 이용하면 수정 코드에서 취약점의 위치와 공격 방법을 신속하게 역공학할 수 있다고 지적했다.

재단은 이러한 위험을 피하기 위해 검증자들과 협의해 수정 프로그램을 직접 배포했다고 설명했다.

구체적으로는 각 검증자가 공개한 xrp-ledger.toml 파일의 연락처 정보를 이용해 기본 신뢰 검증자 목록(UNL)에 포함된 운영자들에게 수정된 프로그램을 전달했다. 이어 9월 25일 같은 날 일반 노드 운영자들을 위한 바이너리 실행 파일도 공개했다고 밝혔다.

재단은 실제 운영 중인 네트워크를 수정하는 작업은 결코 간단하지 않으며, 이번 대응 과정에서도 네트워크 중단과 혼란을 최소화하도록 계획을 수립했다고 설명했다.

“실제 무단 발행 없었다”…현재 XRP 공급량 약 999억8600만개

XRPL 재단은 이번 취약점을 통해 실제로 XRP가 무단 발행됐다는 증거는 없다고 강조했다. XRP는 네트워크 출범 당시 총 1000억개가 생성됐으며, 정상적인 거래로는 새로운 XRP를 발행할 수 없도록 설계돼 있다.

그러나 이번에 발견된 정수 오버플로(Integer Overflow) 버그는 이 핵심 규칙을 우회할 수 있는 결함이었다. 보안기업 베리아 랩스(Veria Labs)는 자체 AI 보안 에이전트를 이용해 서로 다른 두 코드의 계산 오류를 결합하면 한 번의 공격으로 약 18조4467억 XRP를 무단 생성할 수 있다는 사실을 발견했다.

재단은 이같은 취약점이 2주 전 배포한 3.4.1 업데이트에서 이미 수정됐다고 설명했다.

또한 XRP 레저의 모든 계정 잔액은 공개돼 있으며, 새로운 XRP가 생성됐다면 누구나 원장 데이터를 통해 이를 확인할 수 있다고 강조했다. 재단과 커뮤니티가 네트워크의 공급량을 지속적으로 검증해 왔으며, 거래 수수료 소각으로 XRP 공급량은 감소하고 있다는 설명이다.

“AI가 공격자와 방어자 모두의 취약점 발견 속도 높인다”

재단은 이번 버그가 약 10년 동안 발견되지 않았던 이유에 대해서도 설명했다. 정상적인 XRP 결제 거래에서는 문제가 발생하지 않으며, 버그를 악용하려면 수백 건의 비정상적인 작업을 의도적으로 구성해야 했다는 것이다.

그러나 AI 기술의 발전으로 이러한 복잡한 공격 조건을 찾아내는 속도가 빨라지고 있다고 인정했다.

재단은 AI가 악의적인 공격자뿐 아니라 보안 연구자들의 취약점 탐지 능력도 높이고 있다고 설명했다. 이에 따라 리플엑스와 개발자 커뮤니티 등과 협력해 XRP 레저의 보안 체계를 한층 강화할 계획이라고 밝혔다.

구체적으로는 형식 검증(Formal Verification)을 확대하고, AI를 이용한 적대적 보안 테스트를 강화할 방침이다.

형식 검증은 소프트웨어가 특정 보안 조건을 충족하는지 수학적으로 검증하는 기술이다. 코드가 정상적인 상황뿐 아니라 극단적인 입력값과 예외적인 조건에서도 올바르게 작동하는지를 확인하는 데 활용된다.

재단은 외부 보안 연구자들과 협력을 확대하고 버그 바운티 프로그램도 강화하겠다고 밝혔다.

독립 검증자도 반박…”협력은 중앙집중적 통제가 아니다”

XRPL 재단의 공식 설명에 이어 독립 검증자 운영자인 엑스알피 쿠웨이트(XRP Kuwait)도 긴급 패치가 중앙집중적 통제를 보여준다는 주장에 반박했다. XRP Kuwait는 이날 X 성명에서 “협력은 통제와 같은 의미가 아니다”라고 강조했다.

독립적인 검증자들이 위험을 평가하고 서로 소통한 뒤 같은 결론에 도달할 수 있으며, 그렇다고 해서 각자의 독립성을 포기한 것은 아니라는 설명이다.

검증자들은 자신이 운영하는 인프라와 소프트웨어 버전, 검증자 투표 방향을 독립적으로 결정한다고 밝혔다.

다만 XRP Kuwait는 XRPL의 탈중앙화 문제가 모두 해결됐다고 주장하지는 않았다. 독립 검증자들의 폭넓은 참여와 투명성, 책임 있는 운영은 앞으로도 중요한 과제라고 인정했다.

중요한 보안 업데이트를 지지하는 것과 그 의사결정 과정을 비판적으로 검토하는 것은 서로 양립할 수 있다고 강조했다.