XPR 네트워크의 유동성 풀에서 900만달러가 넘는 자금이 단 11분 만에 빠져나갔다. 원인은 출금 요청에서 ‘음수(마이너스) 값’을 허용한 스왑 스마트컨트랙트였고, 공격자는 이 허점을 집요하게 파고들었다.

핵심 포인트

• 공격자는 약 11분 동안 XPR 네트워크 유동성 풀에서 900만달러 이상을 인출했다.

• 출금 함수가 음수 값을 받아들이는 결함 덕분에, 공격자는 내부 잔고를 부풀린 뒤 실제 토큰을 빼낼 수 있었다.

• 블록 프로듀서들은 컨트랙트를 수정하고 약 18억 XPR을 동결해, 훔쳐진 물량 대부분을 온체인에 묶어두는 데 성공했다.

‘음수 인출’ 허점 노린 XPR 스왑 공격

공격의 표적은 네트워크 온체인 스왑 컨트랙트인 proton.swaps였다. 이 컨트랙트에서 공격자는 약 15억6천만 XPR(당시 약 403만달러 상당)을 인출했다.

문제의 핵심은 출금 함수가 음수 값을 허용했다는 점이다.
공격자는 이를 이용해 컨트랙트 내부 ‘가상 잔고’를 인위적으로 키운 뒤, 실제 토큰을 그에 맞춰 빼내는 방식을 반복했다.
이 과정은 스테이블코인 풀, 브리지 자산 풀, 대출(렌딩) 풀 등 같은 유동성을 공유하는 여러 풀을 가로지르며 이어졌고, 누적 피해액은 900만달러를 넘어섰다.

이후 약 5억6천3백만 XPR(약 146만달러 상당)이 렌딩 프로토콜로 이동했다.
공격자가 훔친 스테이블코인을 담보로 추가 대출을 일으키면서, 공격에 직접·간접적으로 연루된 토큰은 총 21억2천만 XPR(유통량의 약 6.5%)까지 불어났다.
뒤이어 약 7억6천4백만 XPR(약 200만달러 상당)이 두 번째 계정으로 옮겨졌다.

함께 읽기: XRP ETF, 9주 연속 순유입 속 17억달러 기록적 자금 유입

지지선 붕괴한 XPR 가격

온체인 유출은 수시간 안에 시장 가격에도 반영됐다.
XPR 가격은 일요일 하락세를 타며 한때 0.00245달러 부근까지 밀렸고, 24시간 기준 약 5.6% 떨어진 0.0026달러 안팎에서 거래됐다.
중요한 지지선으로 작용하던 0.00271달러 선 아래로 내려가 장 내내 회복하지 못했다.
같은 세션 초반 한때 0.00277달러까지 올랐던 가격은 시가총액 약 7,400만달러 수준으로 후퇴했다.

RSI는 27.47까지 떨어지며 깊은 과매도 구간으로 진입했다.
이는 점진적인 가격 재평가라기보다 일방향 매도가 쏠렸음을 시사한다.
하루 약 290만달러 수준의 거래대금 역시 하락 구간에서 매수 유동성이 부족했음을 보여준다.

절대적인 피해 규모만 놓고 보면, 이번 사건은 올해 디파이 대형 해킹들과 비교해 상대적으로 작은 편이다.
그러나 단일 스왑 컨트랙트의 입력 값 검증 하나가 빠졌다는 이유만으로, 피해가 대출·브리지 자산 풀 등 동일 유동성을 공유하는 여러 프로토콜로 연쇄 확산됐다는 점이 더 큰 경고 신호로 받아들여진다.
공격자는 플래시론도, 오라클 조작도 필요 없었다.
그저 컨트랙트가 거르지 못한 ‘마이너스 기호’ 하나면 충분했다.

Metallicus, 도난 XPR 동결

블록 프로듀서들은 UTC 기준 21시 32분에 문제의 컨트랙트를 패치한 뒤, 약 두 시간 후인 자정 무렵 18억 XPR가량을 동결해 커뮤니티 관리 지갑로 이관했다.
공격에 직접 노출된 21억2천만 XPR 가운데, 실제로 네트워크 밖으로 빠져나간 물량은 3억1,950만 XPR에 그쳤다.

덕분에 피해 물량 상당 부분은 ‘회수 가능 자산’으로 남게 됐다.
이는 XPR 네트워크가 위임지분증명(Delegated Proof-of-Stake, DPoS) 구조를 채택하고 있어, 소수의 선출된 블록 프로듀서들이 체인 상태에 직접 개입할 수 있기 때문에 가능한 조치다.
XPR 네트워크는 과거에도 이 같은 ‘비상 레버’를 당긴 전례가 있다.

XPR 네트워크의 핵심 개발사인 Metallicus는 지난 2024년 9월 자사 렌딩 컨트랙트에서 재진입(re-entrancy) 취약점이 악용됐다고 공개한 바 있다.
당시 Metallicus는 예치·대출·청산을 즉시 중단하고, 영향을 받은 자금을 동결한 뒤 이듬달 단계적으로 렌딩 서비스를 재개했다.

다음 읽기: 샘 올트먼, 2026년 오픈AI IPO 가능성 일축… “AI 안전 규제가 걸림돌”