"삭제해도 남의 계정 권한 그대로"...XRP 레저, 메인넷 적용 직전 보안 논란 '시끌'

▲ 엑스알피(XRP), 블록체인, 암호화폐 보안/AI 생성 이미지

엑스알피(XRP) 기반 XRP 레저가 메인넷 적용 전 고위험 권한 위임 취약점을 발견해 기존 V1.0을 철회했다.

9월 10일(현지시간) 암호화폐 전문 매체 크립토포테이토에 따르면, XRP 레저의 권한 위임(Permission Delegation) 기능인 XLS-75는 한 계정이 다른 계정에 특정 작업 권한만 부여하도록 설계됐다. 리플X(RippleX) 엔지니어링 책임자 J. 아요 아킨옐레(J. Ayo Akinyele)는 버그 바운티 프로그램을 통해 취약점이 보고되자 메인넷 적용 전 V1.0을 철회했다고 설명했다. 개발팀은 기존 구현을 직접 수정하는 대신 보안을 강화한 V1.1을 별도로 도입했다.

보안 연구원 쇼츠(Shotes)가 발견한 고위험 취약점은 권한을 위임받은 계정이 삭제 후 다시 생성돼도 기존 권한을 유지할 수 있다는 내용이다. 권한을 부여한 계정은 해당 권한을 회수할 방법이 없었다. V1.1은 위임 계정의 신원 처리와 권한 회수 절차를 강화했다.

개발팀은 볼트(Vault)와 대출(Lending) 등 새 기능이 의도하지 않게 위임되는 문제도 차단했다. 위임 결제의 준비금 계산 문제를 수정하고 권한 위임 검사를 우회할 수 있었던 다중서명 경로도 막았다. 검토 과정에서는 isDelegable에서 중간 위험도의 부호 없는 정수 오버플로도 발견됐다. 연구진은 권한을 부여한 계정이 부적절하게 행동하지 않는다면 실질적인 영향은 없다고 평가했다.

람쿠마르 SG(Ramkumar SG)가 8월 26일 공개한 품질보증 보고서에는 권한 위임 전용 테스트 179건이 기록됐다. 기능 테스트 112건, 적대적 보안 테스트 48건, 교차 기능 테스트 19건이다. 배치(Batch), 기밀 MPT(Confidential MPT), 거래 대기열, 다중서명과의 연동도 점검했다. XRP 레저 운영팀(XRP Ledger Operations)은 V1.1에서 모든 발견 사항을 수정하고 보안업체 캔티나(Cantina)가 이를 검증했다고 밝혔다. 별도로 진행한 5,088건의 테스트에서도 기능 퇴행은 발견되지 않았다.

권한 위임은 2025년 5월 도입됐으며 보안 수정을 위해 같은 해 9월 지원 대상에서 제외됐다. 같은 해 10월 PermissionDelegationV1_1으로 이름을 바꿨고 2026년 6월 다시 지원됐다. 아킨옐레는 “V1.1은 XLS-75가 할 수 있는 기능을 바꾼 것이 아니라 해당 기능이 활성화되는 조건을 바꾼 것”이라고 설명했다. XRP 레저 운영팀은 테스트한 코드 기준으로 운영 환경에 사용할 준비가 됐다고 평가했다.

[기사 핵심 요약]

-XRP 레저는 메인넷 적용 전 권한을 회수할 수 없게 만드는 고위험 취약점을 발견해 V1.0을 철회했다.

-V1.1은 권한 회수와 계정 신원 처리, 다중서명 우회, 준비금 계산 등 여러 보안 문제를 수정했다.

-권한 위임 전용 테스트 179건과 추가 테스트 5,088건을 거쳤으며 XRP 레저 운영팀은 테스트한 코드의 운영 준비가 완료됐다고 평가했다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*