최근 XRP 투자자들이 주목할 만한 보안 사고가 발생했습니다.
XRP 레저(XRPL)와 Coreum(tx) 네트워크를 연결하는 크로스체인 브리지에서 약 20만 XRP가 탈취된 것입니다.
이번 사건에서 중요한 점은 XRP 레저 자체가 해킹된 것이 아니라, 브리지의 입금 확인 로직에 있던 소프트웨어 결함이 악용되었다는 점입니다.
무슨 일이 있었나?
이번 공격은 지난 9일 발생했습니다.
공격자는 실제 XRP를 브리지에 예치하지 않았음에도 마치 예치가 완료된 것처럼 시스템을 속이는 방식을 사용했습니다.
이후 브리지에서 발행되는 토큰을 확보한 뒤, 이를 근거로 브리지 준비금에 보관되어 있던 실제 XRP를 인출했습니다.
온체인 분석에 따르면 약 20만 XRP가 94건의 거래를 통해 브리지 준비금에서 빠져나갔으며, 공격은 시스템이 중단되기 약 97분 전에 이루어진 것으로 알려졌습니다.
브리지는 원래 어떻게 작동할까?
해당 브리지는 XRP 레저와 Coreum(tx) 네트워크를 연결하는 크로스체인 인프라입니다.
사용자가 XRP를 브리지의 준비금 지갑으로 보내면, 다른 체인에서 동일한 가치의 브리지 토큰이 발행됩니다.
이후 브리지 토큰을 다시 반환하면 준비금에 보관된 실제 XRP를 돌려받는 구조입니다.
쉽게 말하면 실제 XRP를 담보로 동일한 가치의 토큰을 발행하는 디지털 금고와 비슷한 방식입니다.
문제는 ‘입금 확인’ 과정이었다
이번 사고의 핵심은 브리지가 실제 입금을 제대로 확인하지 않았다는 점입니다.
공개된 분석에 따르면 브리지의 중계자(relayer) 소프트웨어는 거래 메모(Memo)에 포함된 정보를 바탕으로 입금 여부를 판단했지만, 해당 XRP가 실제로 브리지의 지정된 입금 주소로 전송되었는지는 먼저 확인하지 않았습니다.
공격자는 이 허점을 이용해 자신이 통제하는 지갑끼리 XRP를 주고받으면서 브리지 입금 형식의 메모를 첨부했습니다.
브리지 시스템은 이를 실제 입금으로 오인했고, 실제 XRP가 들어오지 않았는데도 예치금이 기록되는 ‘가짜 예치금’이 생성되었습니다. 이후 공격자는 이 기록을 근거로 준비금에 있던 실제 XRP를 인출했습니다.
다중 서명도 막지 못한 이유
일부에서는 “다중 서명(Multi-signature)이 뚫린 것 아니냐”는 의문을 제기했지만, 실제로는 그렇지 않았습니다.
해당 브리지는 28개의 중계자 키 중 17개의 서명이 있어야 거래가 승인되는 구조였습니다.
문제는 중계자들이 해킹당한 것이 아니라, 브리지 내부 기록상 정상적인 인출 요청으로 인식했기 때문에 정상 절차에 따라 승인했다는 점입니다.
즉, 다중 서명 자체의 보안이 무너진 사건이 아니라, 다중 서명 이전 단계인 거래 검증 로직이 잘못되어 발생한 사고였습니다.
이후 상황은?
탈취된 XRP 상당수는 공격 직후 여러 주소로 이동한 것으로 확인됐습니다.
운영사인 tx(Coreum) 측은 사고 직후 브리지를 중단하고 취약한 코드를 수정했으며, 블록체인 포렌식 전문가를 투입해 자금 흐름을 추적하고 있다고 밝혔습니다. 또한 미국 FBI 인터넷범죄신고센터(IC3)에도 신고를 완료했습니다.
다만 피해 보유자들에 대한 구체적인 보상 방안은 아직 공개되지 않았습니다.
이번 사건이 의미하는 것
이번 탈취 규모는 약 20만 XRP로, 대형 암호화폐 해킹 사건에 비하면 상대적으로 작은 편입니다.
그러나 이번 사건은 실물자산(RWA) 토큰화와 크로스체인 금융 인프라가 확대되는 과정에서 ‘실제 자산이 정말 예치되었는가’를 어떻게 검증할 것인지가 얼마나 중요한지를 보여준 사례입니다.
특히 브리지 시스템은 여러 블록체인을 연결하는 핵심 인프라 역할을 하기 때문에, 입금 검증 로직 하나의 오류만으로도 실제 준비금이 유출될 수 있다는 점이 이번 사건을 통해 다시 한 번 확인됐습니다.
결국 이번 사고는 XRP가 해킹당한 사건이 아니라, 브리지의 거래 검증 과정이 속은 사건으로 이해하는 것이 가장 정확합니다.
※ 참고 자료
20만 XRP가 사라졌다···'가짜 예치금'에 뚫린 XRP 브리지 - 뉴스웨이
XRP 레저 브리지 취약점 악용…약 20만 엑스알피 코인 유출 - 이코노미블록
※ 본 포스팅은 정보 제공을 목적으로 작성되었으며, 특정 자산이나 금융상품에 대한 투자 권유 또는 금융 조언을 의미하지 않습니다. 시장은 다양한 변수에 따라 변동될 수 있으며, 모든 투자에는 원금 손실의 위험이 있습니다. 투자 결정은 본인의 충분한 조사(DYOR)와 판단에 따라 신중하게 진행하시기 바랍니다.