- ZachXBT는 리플이 XRP Ledger의 중대한 버그를 수정하기 위해 베리아 랩스에 지급한 25만 달러가 지나치게 적었으며, 7자리 수에 달해야 했다고 밝혔다.
- 이 버그는 중대 등급으로 분류되었으며, 약 18조 4,500억 개의 XRP를 생성할 수 있었다.
- ZachXBT는 테일러 호른비에게 지급된 지캐시(Zcash)의 150만 달러 상금을 더 공정한 기준 사례로 제시했다.
블록체인 조사관인 ZachXBT는 월요일, 수조 단위의 XRP를 생성할 수 있는 버그를 발견한 보안 기업 베리아 랩스에 리플이 지급한 25만 달러가 지나치게 적었다고 밝혔다.
이번 사건은 리플이 연구원들을 대우하는 방식에 대한 ZachXBT의 오랜 비판을 다시 불러일으켰다.
리플은 베리아 랩스에 얼마나 지불했는가?
ZachXBT는 리플이 베리아 랩스에 지급한 250,000 상금을 비판했다 X(구 트위터) 게시글에서 10월 12일. 그는 이 발견이 베리아 랩스와 공동 창업자 케이드ن 리오(Cayden Liao)에게 '최소 7자리 수의 큰 보너스'여야 한다고 썼다.
ZachXBT는 이번 지급이 '풍부한 자본을 가진 조직들'이 화이트햇 보안 연구원들에게 불공정하게 보상하는 경향의 일부라고 말했다.
그는 지급 기관의 '재정이 수십억 달러'임에도 불구하고 25만 달러는 너무 적다고 주장하며, 이러한 결함을 발견한 다음 사람이 공개하는 대신 악용하도록 유혹할 수 있는 미미한 보상 위험성을 경고했다.
리오의 입장은 다음과 같다. 리플 Veria는 해당 프로그램의 최대 보너금인 25만 달러를 수령했으며, 이는 AI 에이전트만으로 발견된 취약점에 대해 지급된 역대 최고 금액이라고 밝혔습니다.
Veria Labs 발견 XRP Ledger의 결제 엔진에서 발생한 중대한 정수 오버플로 취약점으로, 이 엔진은 네트워크 내장 주문장을 기반으로 거래를 정산하는 역할을 합니다.
한 번의 결제가 여러 오퍼를 동시에 충족할 때, 엔진은 오버플로를 확인하지 않은 채 금액을 합산했습니다. 충분히 큰 총합이 작은 숫자로.wrap-around(돌아감)되었습니다. 판매자는 전액을 받았지만, 구매자는 극히 작은 금액만 청구받았습니다.
이 차이로 인해 새로운 XRP가 생성되었으며, 이는 다른 XRP와 동일하게 사용될 수 있었습니다.
원장은 신규 코인 생성을 차단하기 위한 안전 장치인 'XRPNotCreated'를 갖추고 있었으나, 이 기능에도 유사한 버그가 있어 불균형을 감지하지 못했습니다.
Veria는 2015년 11월과 2017년 2월에 작성된 두 가지 버그를 연결해 작동 가능한 개념 증명(PoC)을 개발했다고 밝혔습니다. 단일 트랜잭션으로 256개 계정에 18조 4,500억 XRP를 크레딧했으며, 이는 XRP의 고정 공급량인 1,000억 개의 약 184배에 해당하는 규모입니다. Veria는 $1.59의 가격을 기준으로 위험에 노출된 금액이 토큰 전체 시가총액인 약 940억 달러에 가까울 것으로 추정했습니다.
특히 개발자들은 해당 버그가 실제로 사용된 흔적이 없다는 점을 발견했습니다. Ripple의 관련 보고서에 따르면, 이 공격이 발생하려면 수백 건의 오퍼가 실제 트레이더가 사용하지 않을 방식으로 가격 책정되어야 합니다.
Veria는 9월 22일 XRPL 버그 바운티 프로그램을 통해 이 결함을 보고했으며, 그 공로로 25만 달러의 보상을 받았습니다.
ZachXBT는 Ripple의 지급에 반대하는 논거에서 Zcash가 연구원 Taylor Hornby에게 지급한 150만 달러를 언급했습니다.
Hornby 위조 결함을 에서 Zcash의 Orchard 실드 풀공개했으며, 이는 약 23억 달러 상당의 ZEC를 위험에 빠뜨릴 수 있는 결함이었습니다. 그는 75만 달러의 바운티와 쿼터(분기) 말기 사후 보상 라운드에서 코인홀더들의 승인을 받아 추가로 지급된 75만 달러의 보너스 보조금을 수령했으며, 이 라운드에서는 총 약 839만 달러가 분배되었습니다.
보너스 nominator를 제출한 Shielded Labs의 이사회 이사 Jason McGee는 원래 금액이 위험에 노출된 자금 대비 약 0.033%에 불과하며, 가장 낮은 선례도 0.24%였다고 주장했습니다. 그는 더 높은 보상이 프로토콜을 위한 '저렴한 보험'이라고 썼습니다. Veria의 발견과 마찬가지로 Hornby의 발견도 AI의 도움을 받아 이루어졌습니다.
버그는 수정되었습니까?
RippleX, Ripple의 엔지니어링 팀은 Veria가 버그를 보고한 당일 이를 확인했습니다. 버그로 생성된 XRP가 실제로 사용될 수 있다는 사실을 발견한 후, 그들은 이를 중대한 문제로 평가했습니다. 수정 프로그램은 9월 23일에 병합되었으며, 9월 25일 xrpld 3.4.1 버전으로 출시되었습니다.
일반적으로 이와 같은 수정은 80% 이상의 신뢰할 수 있는 검증자들이 2주 동안 지속적으로 지지해야 하는 개정(amendment) 절차를 거치지만, 이번에는 각 서버가 업그레이드되는 시점에 패치가 적용되었습니다.
출시일까지 기본 고유 노드 목록(Unique Node List)에 속한 검증자 중 80% 이상이 이미 해당 버전을 실행 중이었습니다.
회사의 보고서에 따르면, 이 버그가 수정 프로그램이 출시되기 수 주 전에 노출되었기 때문에 개정 시스템을 거치지 않은 첫 번째 거래 처리 변경 사항이라고 밝혔습니다.
그럼에도 불구하고 공개 소스 출시를 지연시킨 것에 대해 비판이 제기되었습니다. 사이버 캐피탈(Cyber Capital)의 창립자인 저스틴 본스는 전체 3.4.1 코드가 게시되기 전까지 XRP가 '폐쇄형 소스 코드'로 운영되었다고 말했습니다.
RippleX 엔지니어 마유크 바다리는 이전 방식이 더 이상 통하지 않는다고 지적하며 이 비판에 대응했다. 그녀는 치명적인 패치가 일반적인 공개 릴리스에 포함될 수 없는 이유를 설명했는데, 이는 공격자가 이를 발견하고 즉시 역설계할 수 있기 때문이다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
이 버그로 인해 얼마나 많은 XRP가 생성되었을까?
Veria Labs의 개념 증명(PoC)은 단일 트랜잭션에서 256개의 계정을 통해 약 18조 4,500억 개의 XRP를 주조했으며, 이는 XRP의 고정된 총 공급량인 1,000억 개의 약 184배에 해당하는 규모다.
왜 ZachXBT는 $250,000 보상을 비판했는가?
그는 X(구 트위터)에서 해당 조직의 '재정이 수십억 달러'임에도 불구하고 이러한 중대 결함에 비해 보상금이 너무 적다고 주장했으며, 낮은 보상이 향후 발견자에게 버그를 보고하기보다 오히려 악용하도록 유도할 수 있다고 지적했다.
어떻게 보통의 투표 절차 없이 XRP Ledger 버그가 수정되었는가?
RippleX는 xrpld 3.4.1 버전으로 9월 25일 패치를 배포했으며, 각 서버가 업그레이드되면서 자동으로 활성화되도록 했다. 만약 오픈소스 릴리스를 진행했다면 패치가 적용되기 전까지 버그가 노출되어 악용될 위험이 있었기 때문에, 표준적인 2주간의 개정안 투표 절차를 생략했다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
