XRP 공급량 184배 버그 포상금이 헐값? ZachXBT 폭로전

블록체인 조사관 ZachXBT(@zachxbt )는 리플(@Ripple )이 XRP Ledger ($XRP ) 의 심각한 취약점을 발견한 연구원에게 25만 달러를 지급한 것을 비판했습니다 .
해당 버그는 공격자가 단일 거래로 18조 XRP를 생성할 수 있도록 허용했을 가능성이 있으며, 이는 토큰의 고정 공급량인 1,000억의 약 184배에 달하는 수치입니다.
Veria Labs 공동 창립자 Cayden Liao( @Cayden_Liao )가 현상금 프로그램에서 받을 수 있는 최대 보상을 받았습니다.

XRP 레저 버그가 초래할 수 있었던 결과

해당 결함은 2015년부터 존재해 온 결제 엔진의 정수 오버플로 였습니다 .

크립토폴리탄에 따르면, 영향을 받은 코드는 네트워크 내장 주문장을 기준으로 거래를 정산합니다 . 공격자는 수백 개의 가짜 계정을 만들어 각각 소량의 토큰을 대량의 XRP로 거래하는 방식으로 여러 건의 거래를 하나의 결제로 통합할 수 있었고, 이로 인해 시스템 계산이 오류를 일으켜 실제 거래 금액이 매우 큰 숫자로 인식될 수 있었습니다.

18조라는 수치는 실제 손실이 아닌 테스트 결과입니다.
토큰포스트에 따르면 18조 4500억 XRP라는 수치는 실제 유통된 토큰이 아니라 통제된 공격 시연에서 나온 것입니다 .
XRP 레저 재단은 거래 수수료 손실을 제외하고는 XRP의 원래 공급량은 그대로 유지되었으며, 자체 모니터링 결과 무단 발행은 발견되지 않았다고 밝혔습니다.
타임라인을 살펴보면, 베리아 랩스는 9월 21일에 취약점을 발견하고 9월 22일에 보고했으며, 9월 25일에는 긴급 업데이트가 배포되어 기본 UNL의 검증자 중 80% 이상이 패치된 소프트웨어 또는 그 이후 버전을 실행하게 되었습니다.
XRP Ledger 변경 사항은 일반적으로 검증자들 간의 2주간의 투표 과정을 거치지만, 리플X는 9월 25일에 검증자들에게 직접 수정 사항을 제공했습니다.

ZachXBT가 배당금이 너무 낮았다고 말하는 이유는 무엇일까요?

ZachXBT는 10월 12일 게시물에서 리플이 수십억 달러를 보유한 화이트햇 해커에게 왜 고작 25만 달러만 지급하는지 비판했습니다.

그는 이러한 발견은 최소 7자리 숫자의 보상금을 받아야 한다고 주장했습니다.
또한 , 보상이 너무 적으면 다음에 비슷한 결함을 발견한 사람이 이를 공개하는 대신 악용할 가능성이 있다고 경고했습니다 .
그는 다른 현상금 사례들을 벤치마크로 제시했습니다.
ZachXBT는 Zcash에서 Taylor Hornby에게 지급된 150만 달러의 현상금을 더 공정한 벤치마크로 들었 으며, 이더리움 해커는 2022년에 ETH 무제한 공급을 가능하게 하는 잠재적 취약점을 공개하여 200만 달러의 버그 현상금을 받았습니다 .
보상금 지급을 옹호하는 측은 25만 달러의 보상금이 XRPL 프로그램의 최고 등급에 해당하며, 결함은 책임감 있게 공개되었고, 수정 사항은 공개 전에 배포되었으며, 손실은 발생하지 않았다고 주장합니다 .
베리아는 XRPL이 2024년 이후 버그 현상금으로 100만 달러 이상을 지급했고 12건 이상의 감사 및 감사 경진대회를 거쳤다고 언급했습니다.
크립토 타임즈가 발행될 시점까지 XRP 레저 재단과 리플은 이러한 비판에 대해 공식적인 답변을 내놓지 않았습니다.
논쟁의 핵심은 현상금 상한선이 수백억 달러에 달하는 자산에 대한 위험 규모를 제대로 반영하는지 여부입니다.
랴오 교수는 이번 지급액이 인공지능 에이전트가 전적으로 발견한 취약점에 대한 사상 최대 규모라고 밝혔습니다 .

혼비는 Zcash의 Orchard 보호 풀 에서 위조 버그를 발견했는데 , 이 결함으로 약 23억 달러 상당의 ZEC가 위험에 처했습니다.
그는 75만 달러의 현상금과 75만 달러의 보너스 보조금을 받았으며, 이는 3분기 소급 배분 라운드에서 코인 보유자들의 승인을 받아 총 839만 달러가 배분되었습니다.

보너스 지급을 요청한 쉴디드 랩스의 제이슨 맥기 전무이사는 원래 책정된 보상액이 위험에 처한 자금의 약 0.033%에 불과하며, 이전 최저 기준인 0.24%보다 훨씬 높다고 주장했습니다.

그는 더 높은 보상이 프로토콜에 대한 “저렴한 보험”과 같다고 썼습니다. 베리아의 발견과 마찬가지로 혼비의 발견 역시 AI의 도움을 받았습니다.

버그가 수정되었나요?
리플의 엔지니어링 팀인 RippleX는 Veria가 버그를 보고한 당일 해당 버그를 확인했습니다.
버그로 인해 생성된 XRP를 실제로 사용할 수 있다는 사실을 발견한 후, RippleX는 해당 버그를 심각한 수준으로 평가했습니다.
수정 사항은 9월 23일에 병합되었고, 9월 25일에 xrpld 3.4.1 버전에 포함되어 배포되었습니다.

일반적으로 이러한 수정 사항은 수정 프로세스를 거치는데, 이 프로세스에서는 신뢰할 수 있는 검증자의 80% 이상이 2주 동안 지속적으로 이를 지지해야 하지만, 이번에는 각 서버가 업그레이드됨에 따라 패치가 적용되었습니다.

출시 당일, 기본 고유 노드 목록에 있는 검증자 중 80% 이상이 이미 해당 기능을 실행하고 있었습니다.

회사 보고서에 따르면, 이는 버그가 수정안이 배포되기 몇 주 전에 이미 드러날 가능성이 있었기 때문에 수정 시스템을 거치지 않고 진행된 10년 만에 처음 있는 거래 처리 변경 사례라고 합니다.

하지만 소스 코드 공개를 미룬 것은 비판을 불러일으켰습니다. 사이버 캐피털의 설립자인 저스틴 본스는 XRP가 3.4.1 버전 전체 코드가 공개될 때까지 “비공개 소스 코드로 실행되었다”고 말했습니다.

RippleX 엔지니어인 마유카 바다리는 이러한 비판에 대해 기존 방식은 더 이상 통하지 않는다고 답했습니다. 그녀는 공격자들이 핵심 패치를 발견하고 즉시 리버스 엔지니어링할 수 있기 때문에 정기적인 공개 릴리스에 핵심 패치를 포함할 수 없다고 설명했습니다.