XRP 헬스케어, 지갑 결함으로 45만 달러 도난 — 결국 사업 정리 수순

XRP 헬스케어가 자체 지갑 결함으로 약 45만 달러가 도난당한 뒤 사업을 정리하는 수순에 들어갔습니다. 개발팀 사고 보고서와 이를 인용한 보도에 따른 내용입니다. 프로젝트 측은 보안·복구 작업이 진행되는 동안 디지털 서비스가 일시 중단됐다고 공식 확인했습니다.

일시 중단은 확인, 완전 폐업은 보도로만 확인

XRP 헬스케어 공식 홈페이지에는 XRPH 지갑 사고 이후 보안·복구 작업이 진행되는 동안 디지털 서비스가 일시적으로 이용 불가능하다는 공지가 올라와 있습니다. 이 공지는 서비스 중단을 확인해줄 뿐, 완전한 폐업을 확인해주지는 않습니다.

크립토슬레이트는 회사가 9월 10일 사업 정리를 발표했다고 보도했습니다. 지갑 사고와 함께 개발 비용, 장기화된 약세장, 실패한 상장 시도가 원인으로 거론됐다고 전했습니다. 이 보도는 지갑 결함을 여러 원인 중 하나로 설명할 뿐, 유일한 원인으로 단정하지는 않습니다.

크립토슬레이트에 따르면 이번 정리 절차에는 XRPH와 XRPHAI 상장폐지 계획, 거래소별 출금 마감 시한, 지갑 앱의 계속된 이용 중단, 진행 중인 복구 작업이 포함됩니다. 이는 프로젝트 차원의 사건으로, 리플이나 XRP 원장 전체, 또는 이와 무관한 다른 XRP 관련 서비스와는 관련이 없습니다.

약 4,010개 지갑에서 45만 달러

개발팀 보고서는 사고 발생 시점을 9월 3일로, 보고서 작성 시점을 9월 7일로 밝히며 약 45만 달러가 빠져나간 것으로 추산했습니다. 다만 이 수치는 개발팀 자체 추산치이며, 독립적으로 재검증된 평가액은 아닙니다.

크립토슬레이트는 XRPL.to 분석 자료를 인용해 9월 3~4일에 4,011개 발신 지갑에서 1만 281건의 결제가 한 수집 지갑으로 흘러갔다고 전했습니다. XRPL.to는 이 중 수집 지갑에 자금을 댄 발신자 한 곳을 제외한 4,010개를 피해자로 분류했는데, 이 때문에 개발팀 보고서의 유출 지갑 수(4,011개)와 피해자 수(4,010개)에 차이가 생겼습니다. 이 역시 독립적으로 검증된 원장 데이터가 아니라 재인용된 집계치이며, 4,010이라는 숫자는 검증된 개별 이용자 수가 아니라 지갑 개수라는 점도 유의해야 합니다.

결함의 정체: 지갑 앱의 코드 버그

개발팀 보고서에 따르면 문제는 55자짜리 문자열이 바이트 값을 기대하는 xrpl.Wallet.fromEntropy() 함수에 그대로 전달된 데 있었습니다. 이 과정에서 잘림(truncation) 현상이 생겨 고정된 공백 두 자리를 포함한 16자만 남았고, 실질적으로 변하는 자릿수는 14자에 불과했다고 합니다. 보고서는 그 결과 나올 수 있는 조합의 수가 약 72조 8,998억 3,800만 개(2의 46.05제곱)로, 원래 의도된 2의 128제곱에 크게 못 미쳤다고 밝혔습니다.

개발팀은 이 결함이 2023년 6월 13일자 특정 코드 커밋에서 비롯됐고, 소스코드가 공개된 시점은 2023년 9월 10일이며, 사고 직전인 2026년 7월 28일자 코드에도 이 결함이 남아 있었다고 설명했습니다. 개발팀은 약 350억 개 후보 값을 부분적으로 탐색해 실제로 살아있는 지갑 9개를 재현했고, 그중 4개는 확인된 피해 지갑이었다고 밝혔습니다.

이 보고서는 개발팀이 직접 작성한 것으로, 독립적인 제3자 감사 결과가 아니라는 점을 개발팀 스스로도 명시하고 있습니다. 보고서는 애플리케이션이 생성한 모든 지갑을 탈취된 것으로 간주해야 하며, 이용자들은 새로 생성한 키가 필요하다고 결론 내렸습니다. 문제는 애플리케이션의 키 생성 방식에 있었고, XRP 원장 자체는 뚫리지 않았다는 게 개발팀의 설명입니다. 크립토슬레이트가 전한 회사 측의 미확인 주장에 따르면 도난당한 자산은 약 44만 5,198 DAI를 보유한 한 이더리움 주소로 추적됐다고 하지만, 이 거래 흐름 자체는 독립적으로 검증되지 않았습니다.

남은 물음표

이번 보도만으로는 피해 보상 여부, 유출된 자금 중 회수 가능한 규모, 이용자들이 남은 자금에 접근할 방법이 확인되지 않습니다. 정확한 폐업 일정과 검증된 이용자 안내도 현재 자료로는 확인되지 않습니다.

다만 이는 지금까지 확인된 자료의 공백일 뿐, 회사가 아무 입장도 내지 않았다는 뜻은 아닙니다. 회사는 공식 입장을 내놨고 홈페이지도 복구 작업이 진행 중이라고 확인하고 있습니다. 피해를 본 이용자들은 크립토슬레이트가 이번 정리 절차와 함께 안내했다는 거래소별 출금 마감 시한과 상장폐지 일정을 계속 확인해야 할 것으로 보입니다.