XRP 레저 '권한 위임' 켜졌다…배치 업그레이드는 9일 밤 예정

XRP 레저(XRPL)에서 한 계정이 결제나 토큰 승인 같은 특정 업무만 다른 계정에 맡길 수 있는 '권한 위임' 기능이 9일 오전 6시 29분(한국시간) 메인넷에 켜졌다. XRPL 탐색기 XRPSCAN에 따르면 이 규칙 변경(어멘드먼트) 'PermissionDelegationV1_1'은 원장 번호 1억752만4,865번에서 활성화됐다. 2025년 보안 결함이 드러나 멈췄던 첫 버전을 고쳐 다시 올린 것이다.

XRPL 어멘드먼트는 신뢰 검증인 80%를 넘는 지지가 2주 동안 끊기지 않아야 켜진다. 권한 위임은 한국시간 9월 25일 오전 6시 25분 이 기준을 넘긴 뒤 2주를 채웠다. 같은 방식으로 대기 중인 배치 거래 업그레이드 2건도 지지가 유지되면 9일 밤 차례로 켜진다.

주인 키는 금고에, 일은 보조 계정이

권한 위임을 쓰면 계정 주인은 'DelegateSet' 거래로 다른 계정(위임받는 계정)이 어떤 거래를 대신 보낼 수 있는지 정해 둔다. 위임받은 계정은 주인 계정의 키가 아니라 자기 키로 서명하고, 허락받은 종류의 거래만 보낼 수 있다. 거래 수수료도 위임받은 계정이 낸다. 한 위임 계정에 줄 수 있는 권한은 최대 10개이고, 주인은 언제든 DelegateSet을 다시 보내 권한을 바꾸거나 거둬들일 수 있다.

계정 설정 변경 거래 전체(AccountSet), 보조 키 지정(SetRegularKey), 다중 서명 목록 변경(SignerListSet), 위임 설정(DelegateSet), 계정 삭제(AccountDelete)처럼 계정 통제권과 직결되는 거래는 통째로 맡길 수 없다. 도메인 변경 같은 일부 설정만 세부 권한으로 따로 맡길 수 있다. XRPL 공식 문서는 이 기능으로 자주 쓰는 온라인 키가 일상 업무를 처리하고 주인 키는 오프라인에 둘 수 있다고 설명한다. 특히 이용자를 한 명씩 승인해야 하는 스테이블코인 발행사처럼 규제 준수 업무가 많은 곳에서 쓸모가 크다고 밝혔다.

첫 버전은 남의 계정에 수수료를 물릴 수 있었다

XRPL 공식 사이트(xrpl.org)에 2025년 9월 29일 올라온 취약점 보고서에 따르면, 첫 버전(PermissionDelegation)은 거래 서명을 확인하기 전에 권한부터 따졌다. 이 때문에 서명이 틀린 거래도 '권한 없음' 실패로 처리되면서 수수료가 빠져나갈 수 있었고, 공격자가 높은 수수료를 붙인 가짜 거래로 다른 계정의 XRP를 갉아먹을 수 있는 구조였다. 결함은 커뮤니티 개발자 'tequ'가 2025년 9월 15일 개발망에서 시험하다 찾아냈다.

당시 이 기능은 메인넷에서 켜지기 전이어서 피해는 없었다. 첫 버전은 서버 프로그램 2.6.1부터 꺼졌고, 검증인들은 반대표를 던져 활성화를 막았다. 고친 버전은 서명을 확인하기 전에는 수수료를 물리지 않도록 바꿨으며, 서버 3.3.0 버전에 처음 들어갔다.

토큰 소각 권한은 아직 맡기지 말라

XRPL 공식 어멘드먼트 목록은 후속 수정안 'fixCleanup3_4_0'이 켜질 때까지 토큰 소각용 세부 권한(PaymentBurn)은 위임하지 말라고 권고했다. 수정 전에는 이 권한을 받은 계정이 특정 조건에서 새 토큰(트러스트라인 토큰이나 MPT)을 찍어낼 수도 있다는 이유다. 다른 세부 권한은 영향이 없다고 덧붙였다. 9일 오후 XRPSCAN 기준 이 수정안은 아직 80% 지지를 얻지 못해 2주 대기에도 들어가지 않았다.

업비트 XRP 1,916원, 1년 전 고점의 절반 아래

9일 오후 3시 30분대 XRP는 업비트 원화마켓에서 1,916원에 거래됐다. 전일 종가보다 1.0% 오른 값이다. 같은 시각 빗썸에서도 1,916원이었고, 바이낸스 현물에서는 1.4006달러였다. 업비트 가격은 달러당 1,342원으로 환산한 바이낸스 현물가보다 약 1.9% 높았다. 업비트 XRP의 최근 52주 최고가는 2025년 10월 27일 기록한 3,970원이다.