XRP 원장(XRP Ledger·XRPL) 개발진이 10월 9일 취약점 2건의 수정 내역을 공개했다. 핵심은 별도 시험 환경에서 XRP를 비정상적으로 생성해 사용할 수 있음을 확인한 결제 처리 오류다. 개발진은 이 오류가 2015년부터 존재한 것으로 추정했으며, 공개 네트워크에서 악용된 증거는 발견하지 못했다고 밝혔다.
오류는 여러 주문의 금액을 더할 때 계산 한도를 넘으면 합계가 작은 숫자로 바뀌는 문제였다. 이를 악용하면 구매자 계정에서 차감하는 XRP보다 받는 계정들에 더 많은 XRP를 지급할 수 있었다. 개발진은 시험 서버에서 이 현상을 재현했으며, 신규 XRP 생성을 막는 안전장치도 같은 계산 오류로 이를 잡아내지 못했다고 설명했다.
수정은 9월 25일 배포된 xrpld 3.4.1에 반영됐다. 통상 거래 처리 규칙 변경에는 신뢰 검증인의 80%를 넘는 지지가 2주간 유지되는 수정안(amendment) 절차가 필요하다. 그러나 이번 결제 오류의 수정은 서버 업그레이드 즉시 적용됐다. 보고서는 수정안 제도 도입 이후 거래 처리 변경을 이 방식으로 의도적으로 적용한 첫 사례라고 설명했다. XRPL 재단·리플엑스·검증인 구성원들은 수정 코드를 공개한 채 투표를 기다릴 경우의 악용 위험이 긴급 적용 중 서버들의 판단이 달라져 합의가 중단될 위험보다 크다고 봤다. 배포 당일 기본 신뢰 검증인 목록(UNL)에 포함된 검증인의 80% 넘게 업그레이드했다.
한편, 함께 공개된 Batch 거래 검증 오류는 발견 당시 메인넷에서 활성화되지 않은 기능의 결함으로, 메인넷 계정이나 자금에는 영향을 주지 않았다. 이 수정은 정상 수정안 절차를 거쳐 10월 9일 활성화됐다. 보고서는 일반적인 규칙 변경 절차는 유지된다고 밝혔으며, 향후 유사 사례에 적용할 별도의 상시 예외 승인 절차는 제시하지 않았다.