이 기사의 핵심 내용
오늘은 개발자들에게 끔찍한 소식을 전달하겠다. 최근 엑스알피 원장 재단은 주요 자바스크립트 라이브러리에서 취약점을 발견하여 수습해야 했다. 문제의 라이브러리는 xrpl.js로, 여기에는 사용자 개인키를 도난할 수 있는 백도어가 숨겨져 있었다. 이번 문제는 xrpl.js 라이브러리의 악성 버전에서 비롯된 것으로 확인되었으며, 그로 인해 지갑 수천 개가 위험에 처하게 되었다.
문제를 처음 발견한 것은 블록체인 보안 회사 아이키도였다. 4월 21일, 이들은 누군가가 의심스러운 xrpl.js 버전 다섯 개를 NPM 패키지 레지스트리에 업로드한 것을 발견했다. 문제의 버전들은 모두 mukulljangid라는 기묘한 이름으로 서명되어 있었다. 그리고 이 버전은 라이브러리 공식 깃허브에 올라오지 않은 것으로, 이는 심각한 위험 신호를 시사했다.
🚨We have discovered a backdoor in the official #xrpl NPM package. This back door steals private keys and sends them to attackers. The affected versions 4.2.1 – 4.2.4, if you are using an earlier version, do not upgrade.#crypto #malware #npm pic.twitter.com/wshcTFKjbR
— Aikido Security (@AikidoSecurity) April 22, 2025
아이키도는 악성 버전에서 시드 유효성을 확인하는 코드가 숨겨져 있는 것을 발견했는데, 그 역할은 개인키를 0x9c.xyz라는 외부 도메인으로 몰래 전송하는 것이었다. 즉, 이 버전 중 하나라도 사용하는 앱은 사용자 몰래 지갑 정보를 유출할 수 있게 되는 것이다.
엑스알피 원장 재단은 빠르게 대응했다. 이들은 NPM에서 악성 버전을 제거하고, 안전한 4.2.5 버전을 배포했다. 또한 개발자들에게 서둘러 업데이트하라는 안내를 제공했다.
이번 문제의 영향
이번 문제는 결코 가볍지 않다. xrpl.js는 엑스알피 개발자 툴킷에서 매우 중요한 라이브러리로, 주간 14만 건 이상의 다운로드를 기록한다. 만약 어떤 프로젝트가 악성 버전을 모르고 사용했다면, 사용자는 아무도 모르게 위험에 처할 수 있었던 것이다.
함께 보기: 2025년 신규 상장 예정 코인 | 최신 암호화폐 | 신규 코인
다행히도 큰 피해는 없었다. 엑스알피 스캔, 퍼스트 렛저, 젠3 게임즈 같은 유명 플랫폼들은 업데이트를 신속하게 완료했다고 보고했다. 하지만, 주요 라이브러리의 악성 버전이 공개되고 다운로드되었다는 사실은, 소프트웨어 공급망이 얼마나 취약할 수 있는지를 부각하기 충분했다.
엑스알피 시장 가격 또한 크게 흔들리지 않았다. 사실 토큰은 하루 동안 3.5% 상승했고, 시가총액은 1250억 달러를 넘기며 안정적인 모습을 유지했다. 물론 개발자들은 보이지 않는 곳에서 분주한 시간을 보내야 했겠지만, 시장은 큰 영향을 받지 않은 것이다.
엑스알피 개발자를 위한 보안 지침
만약 여러분이 xrpl.js를 사용하는 개발자라면, 다음 사항을 확인하기 바란다:
- 지금 바로 4.2.5버전으로 업데이트하거나 2.14.3 버전으로 롤백하기 바란다.
- 만약 악성 버전이 개발환경에 영향을 미쳤을 가능성이 있다면, 바로 개인키를 교체해야 한다.
- 잠금파일을 통해 예기치 못한 업데이트가 개발환경에 들어오는 것을 방지하기 바란다.
- package.json 파일에서 ^ 같은 버전 관리 코드를 조심하기 바란다. 이는 마이너 업데이트를 자동으로 가져올 수 있다.
마치며
이번 사건은 공급망 공격의 교과서적인 사례로, 신뢰받는 라이브러리도 충분히 공격 수단이 될 수 있다는 사실을 드러냈다. 특히 암호화폐는 위험성이 높고 피해를 수습하기 어려운 편이다. 따라서 여러분이 개발자라면, 항상 예민한 상태로 있는 것이 프로젝트와 사용자를 보호하는데 도움이 될 것이다.
함께 읽기: 2025년 코인 호재 | 폭발적 성장이 기대되는 암호화폐는?
핵심 요약
- 유명 엑스알피 개발자 라이브러리 xrpl.js의 악성 버전이 NPM에 업로드되었다. 여기에는 개인키를 유출하는 코드가 포함되어 있었다.
- 이 악성 버전은 공식 깃허브에 게재되지 않은 것으로, 보안 회사 아이키도가 처음 발견하여 문제를 제기했다.
- 엑스알피 원장 재단은 빠르게 대응하여, 악성 버전을 제거하고 새로운 업데이트를 배포했다.
- 악성 버전을 사용하는 프로젝트는 사용자 지갑을 위험하게 할 수 있으므로, 개발자들은 서둘러 업데이트하고 키를 교체하는 것이 좋다.
- 이번 사건은 소프트웨어 공급망의 위험성을 재조명했다. 다행히도 엑스알피 시장은 큰 영향을 받지 않았다.
99비트코인을 신뢰할 수 있는 이유
2013년에 설립된 99비트코인 팀은 비트코인 초창기 시절부터 암호화폐 전문가로 활동해 왔습니다.
주간 리서치
10만명 이상월간 독자
전문가 팀
2000개 이상크립토 프로젝트 리뷰
비트코인 무료특강
- 10만명 이상의 교육 수강자 보유
- 매일 총 7일 간, 이메일로 제공되는 강의
- 단 기간, 효과적인 교육 보장!
