미국에 상장된 XRP 상장지수펀드(ETF)가 13주 연속 순유입 행진을 이어갔다. 같은 기간 비트코인·이더리움·솔라나 ETF에서는 합계 12억 4,800만 달러가 빠져나갔다. 시장조사 사이트 소소밸류(SoSoValue) 집계 기준으로 10월 9일(현지시각)에 끝난 한 주의 흐름이다.

XRP 쪽에서는 자금 흐름 외에 보안 이슈도 불거졌다. 보안업체 베리아랩스(Veria Labs)의 AI 에이전트가 XRP 레저(XRPL)에서 10년 된 결함을 찾아냈다. 단일 거래로 약 18조 XRP를 만들어낼 수 있는 수준이었다고 한다.

비트코인 ETF는 3주 만에 순유출 전환, 이더리움은 더 깊게 빠졌다

소소밸류 집계에 따르면 비트코인 ETF는 한 주 동안 6억 8,110만 달러가 순유출됐다. 직전 주에는 2억 4,109만 달러가 순유입됐기 때문에 투자 수요가 한 주 만에 9억 2,219만 달러 뒤집힌 셈이다. 비트코인 ETF의 순유입 행진은 3주에서 멈췄고 9월 11일에 끝난 주 이후 첫 순유출 주간이다.

환매는 이틀에 몰렸다. 수요일에 4억 8,707만 달러, 목요일에 2억 4,413만 달러가 빠져나갔다. 금요일에는 2,113만 달러가 들어왔지만 주간 흐름을 되돌리지는 못했다. 비트코인 ETF의 순자산은 1,058억 4,000만 달러로 한 주 전 1,088억 9,000만 달러에서 줄었다. 순자산에는 설정·환매뿐 아니라 비트코인 가격 변동도 반영된다.

비트코인 중심 리서치 플랫폼 에코노메트릭스(Ecoinometrics)는 10월 9일 차트에서 최근 30일 누적 ETF 유입을 약 3만~4만 BTC 수준으로 표시하고 수요가 둔화하고 있다고 짚었다. 30일 기준 수치에는 이전 매수분이 포함돼 있어 주간 수치와 방향이 다를 수 있다. 크립토퀀트(CryptoQuant)의 주간 순유출입 차트에서도 최근 한 주 자금 유출이 확인된다.

이더리움 ETF의 유출은 더 꾸준했다. 한 주 동안 5억 4,207만 달러가 빠졌는데 직전 주 유출액 1억 3,802만 달러의 4배에 가깝다. 월요일부터 금요일까지 5거래일 모두 순유출이었고 올해 1월 이후 가장 큰 주간 유출이다. 비트코인 펀드와 달리 금요일에도 반등하지 못했다.

화요일 2억 189만 달러와 수요일 1억 6,077만 달러가 주간 유출의 약 67%를 차지했다. 출시 이후 누적 순유입액은 138억 달러에서 132억 6,000만 달러로 줄었다. 순자산은 174억 6,000만 달러에서 157억 1,000만 달러로 감소했는데 유출액보다 감소 폭이 큰 것은 이더 가격 변동이 함께 반영됐기 때문이다.

솔라나는 14주 연속 기록 마감, XRP는 13주째 돈이 들어왔다

솔라나 ETF에서는 2,481만 달러가 순유출됐다. 6월 이후 첫 주간 순유출이며 14주 연속 순유입 기록이 끊겼다. 5거래일 모두 마이너스였다. 월요일 925만 달러가 가장 큰 일간 유출이었고 수요일 480만 달러가 뒤를 이었다. 비트코인·이더리움보다 규모는 작지만 길게 이어진 순유입 흐름이 멈췄다는 점이 달라졌다. 누적 순유입액은 15억 8,000만 달러로 내려왔고 순자산은 17억 3,000만 달러로 마감했다.

솔라나 네트워크에서는 스테이블코인 발행 소식도 나왔다. 크립토브리핑은 코인텔레그래프 보도를 인용해 USDC 발행사 서클이 솔라나에서 USDC 2억 5,000만 개를 추가로 발행했다고 전했다. 다만 이것이 곧바로 유통이나 신규 수요를 뜻하는 것은 아니라고 같은 매체는 짚었다. 유동성 확대 흐름으로 읽힐 수는 있다는 설명이다.

XRP ETF는 예외였다. 한 주 동안 1,131만 달러가 들어와 직전 주 474만 달러의 두 배를 넘었고 순유입은 13주 연속이 됐다. 화요일 314만 달러, 목요일 817만 달러가 유입됐고 나머지 사흘은 순흐름이 없었다. 이 유입액은 비트코인·이더리움·솔라나 ETF 유출분의 1%에도 미치지 못해 전체 환매 규모에 비하면 작은 균형추에 그쳤다.

순유입이 이어졌어도 자산 규모는 줄었다. XRP ETF 순자산은 16억 6,000만 달러에서 15억 7,000만 달러로 감소했다. 누적 순유입액은 18억 달러로 늘었다.

AI가 찾은 XRPL 결함, 거래 한 건으로 18조 XRP 발행 가능했다

XRP 레저에서 AI가 찾아낸 취약점은 XRP의 고정 공급량 전제를 흔들 수 있는 것이었다. 베리아랩스에 따르면 공격자가 결제 거래 한 건으로 약 18조 XRP를 만들어낼 수 있었다. 초기 공급량 1,000억 개의 약 180배에 이른다. 베리아 창업자 케이든 리아오는 이 결함이 940억 달러 규모로 평가된 XRP 시가총액을 위협할 수 있었다고 말했다.

결함은 XRPL의 기반 소프트웨어 rippled에서 발견됐다. 하나는 결제 엔진의 정수 오버플로(숫자가 표현 범위를 넘어 잘못 계산되는 오류)였다. 교묘하게 짜인 매매 주문이 있으면 구매자가 내야 할 금액이 잘못 계산된다. 판매자는 XRP 대금을 전부 받는데 구매자에게는 실제 금액의 일부만 청구되는 구조라 차액만큼 존재하지 않던 XRP가 생긴다.

두 번째는 네트워크의 공급량 보호 장치였다. 같은 결함 있는 산술에 의존했기 때문에 새 XRP가 만들어진 사실을 감지하지 못할 수 있었다. 공격자는 결제 전에 수백 개 계정과 주문을 준비해야 했다. 공식 취약점 보고서에 따르면 필요한 비용은 대부분 환급 가능한 준비금 수백 XRP와 일반 수수료가 전부였다.

결제 엔진 코드는 2015년, 문제의 공급량 보호 장치는 2017년에 도입됐다. 리아오는 XRPL 코드베이스가 2024년 이후 열두 차례가 넘는 감사와 보안 대회를 거쳤다고 밝혔다. 상금 풀 55만 달러짜리 대회도 있었고 버그 바운티(보안 취약점 포상제)로 지급된 금액은 100만 달러를 넘는다. 베리아의 AI 시스템은 취약점을 찾고 실제 작동하는 공격 코드를 만든 뒤 로컬 네트워크에서 문제를 시연했다.

표결 절차를 건너뛴 긴급 패치, 그리고 RippleX의 대응

취약점은 9월 22일 보고됐고 3일 뒤 패치됐다. 리플엑스는 이후 무단으로 발행된 XRP가 없고 자금 손실도 없으며 공개 네트워크에서 악용 흔적도 발견되지 않았다고 확인했다. 사건은 10월 9일 공개됐다. 리플엑스 엔지니어들은 공격을 독자적으로 재현해 새로 생성된 XRP가 이후 거래에서 사용될 수 있음을 확인했다. 베리아는 프로그램 최대 금액인 25만 달러의 포상금을 받았다. 리아오는 AI 에이전트가 단독으로 찾아낸 취약점에 대한 보상으로는 알려진 것 중 가장 큰 규모라고 설명했다.

수정 방식도 이례적이었다. 거래 처리 규칙을 바꾸려면 통상 신뢰 검증인의 80% 넘는 지지를 2주 연속 얻어야 활성화된다. 개발진은 표결이 진행되는 동안 취약점이 노출된 채로 남는다고 판단했다. 오픈소스 특성상 수정 코드를 공개하면 보호 장치가 작동하기 전에 공격자에게 단서를 줄 수도 있었다. 그래서 리플엑스·XRP 레저 재단·검증인들이 조율해 버전 3.4.1을 돌리는 서버에서 보호 기능이 즉시 켜지는 긴급 업그레이드를 진행했다.

배포 중 역공학으로 취약점이 드러나는 위험을 줄이기 위해서다. 공개 문서에 따르면 거래 처리 변경에서 활성화 절차를 의도적으로 우회한 것은 10년 넘는 기간에 처음이다.

위험도 있었다. 서버마다 버전이 다르면 공격 거래의 유효성을 두고 의견이 갈려 합의가 깨지거나 네트워크가 멈출 수 있다. 개발진은 가짜 XRP가 유통되느니 일시적 중단이 낫다고 결론 냈다. 신뢰 검증인 기본 목록의 80% 넘는 검증인은 9월 25일까지 업그레이드를 마쳤다. XRPL 재단 기여자 벳은 10월 9일 별도의 배치 관련 개정안이 활성화된 뒤 버전 3.4.1이 새 최소 소프트웨어 요건이 됐다고 밝혔다.

리플엑스 엔지니어링 총괄 J. 아요 아키닐리는 이번 사건이 오래된 가정을 다시 점검할 필요성을 보여줬다는 취지로 인정했다. 앞서 블록체인 업계에서는 AI가 암호 체계의 약점을 찾아낼 수 있다는 경고가 나온 바 있다. XRPL 사례는 AI가 실제 운영 중인 블록체인 소프트웨어의 오래된 결함을 찾아 작동하는 공격 코드까지 만든 구체적 사례다.