XRP 레저, 주요 취약점을 시의적절하게 수정

심각한 보안 결함이 발견되었습니다. XRP 레저의 제안된 배치 수정안은 공격자가 개인 키 없이도 피해자 계정에서 무단 거래를 실행할 수 있도록 허용할 가능성이 있었습니다. 이 버그는 수정안이 메인넷에 적용되기 전인 2월 19일에 발견되어 자금 유출은 발생하지 않았습니다. 칸티나 CEO 하리 물라칼은 XRP의 시가총액이 약 800억 달러에 달하는 상황에서 이번 사건이 블록체인 역사상 "달러 가치 기준 최대 규모의 보안 해킹"이 될 가능성이 있다고 언급했습니다.

정확히 어떤 버그였나요?

이 취약점은 Rippled 버전 3.1.0의 일괄 거래 서명 검증 프로세스 내에 존재했습니다. 검증 루프의 논리 오류로 인해 공격자가 악용할 수 있는 조기 종료 조건이 발생했습니다.

실제 작동 방식은 다음과 같습니다.

• 공격자는 피해자의 계정과 연결된 내부 작업(결제, 계정 수정)을 포함하는 일괄 거래를 조작할 수 있습니다.
• 해당 거래에는 위조된 서명자 정보가 사용될 것입니다.
• 결함이 있는 검증 절차로 인해 존재하지 않는 계정을 확인하고, 조기에 종료되어 적절한 인증 절차를 건너뛰게 됩니다.
• 그러면 승인되지 않은 작업이 마치 합법적인 작업인 것처럼 진행될 것입니다.

활성화 후 악용될 경우 공격자는 계정의 잔액을 예비 자금까지 고갈시키거나, AccountSet 또는 TrustSet과 같은 거래를 통해 원장 상태를 변경하거나, 심지어 계정을 완전히 삭제할 수도 있습니다.

어떻게 잡혔나요?

보안 엔지니어 Pranamya Keshkamat의 칸 티나블록체인 전문 보안 회사인 는 자사의 AI 기반 감사 도구인 Apex를 사용하여 해당 결함을 발견했습니다. 이 발견은 Rippled 코드베이스에 대한 정적 분석 중에 이루어졌습니다.

자율형 AI 보안 감사 도구로 알려진 Apex가 논리 오류를 발견했습니다. 케슈카마트와 그의 팀은 이후 책임 있는 정보 공개 보고서를 제출했습니다. 리플의 엔지니어링 팀은 개념 증명 및 단위 테스트를 통해 신속하게 이를 검증했습니다.

이는 AI 기반 보안이 단순히 약속만 하는 것이 아니라 실제로 결과를 보여주는 구체적인 사례입니다.

답변은 얼마나 빨리 왔나요?

발견부터 공개까지 전체 과정이 일주일이 걸렸습니다.

2월 19일, 칸티나가 오류를 보고한 바로 그날, UNL 검증자들은 일괄 수정안에 대해 "반대" 투표를 하라는 권고를 받았습니다. 여러 검증자들이 즉시 거부권을 행사했습니다.

유망한 프로젝트를 발견하세요...

유망한 프로젝트...

(광고)

기사는 계속됩니다...

2월 23일, 리플은 Rippled 버전 3.1.1을 통해 긴급 패치를 배포했습니다. 이 업데이트는 배치 수정 사항을 더 이상 지원하지 않는 것으로 표시하고, 활성화를 차단하는 fixBatchInnerSigs라는 임시 수정 사항을 도입했습니다.

2월 26일, XRPL Labs 출판 취약점 공개 보고서 전문을 공개합니다.

어떻게되는데?

배치 수정안은 폐기되지 않았습니다. XRPL 개발팀은 BatchV1_1이라는 대체 버전을 개발 중입니다. 업데이트된 버전은 조기 종료 조건을 제거하고, 권한 부여 보호 장치를 추가하며, 전반적인 서명 검사를 강화합니다. 아직 출시일은 정해지지 않았으며, 코드는 여전히 검토 중입니다.

검증자분들은 즉시 Rippled 3.1.1로 업그레이드하시기 바랍니다. 해당 취약점은 실제 환경에서 발생하지 않았으므로 일반 사용자는 별도의 조치를 취할 필요는 없지만, XRPL 공식 채널에서 BatchV1_1 업데이트를 확인하는 것이 좋습니다.

이게 왜 중요한거야?

이번 사건은 업계 전체가 주목해야 할 아찔한 순간 중 하나입니다. 해당 버그는 메인넷 활성화를 위한 투표가 진행 중이던 코드에 존재했습니다. 만약 시기가 단 며칠만 달랐더라도 결과는 완전히 달라졌을 것입니다.

인공지능 도구가 이를 발견하는 데 핵심적인 역할을 했다는 사실은 매우 중요합니다. 암호화폐 분야에서 제3자 감사는 항상 중요했지만, 인공지능 기반 감사는 일반적인 코드 검토 과정에서 사람이 놓칠 수 있는 부분을 찾아낼 수 있음을 입증하고 있습니다.

XRPL Labs는 이번 사건을 계기로 코드 검토 프로세스를 지속적으로 개선해 나갈 것이라고 밝혔습니다. 수백억 달러 규모의 생태계에서 이는 선택 사항이 아니라 생존을 위한 필수 조건입니다.

출처 :

• 코인 텔레그래프 칸티나의 보안 엔지니어와 AI 도구인 Apex가 발견한 내용과 CEO 하리 물라칼의 발언을 보도합니다.
• XRPL 랩 블로그 기술적 세부 정보, 해결 일정 및 검증자 권장 사항이 포함된 공식 취약점 공개 보고서