XRP Ledger يصلح خطأ عمره عقد كان يمكن أن يخلق مليارات من XRP الوهمية
كشف باحثون عن ثغرة أمنية حرجة سمحت للمهاجمين بتوليد XRP قابل للإنفاق دون تمويل المعاملات، مما أدى إلى إصدار برمجي طارئ بعد أن ظلت الثغرة كامنة لمدة عشر سنوات.
أصلح فريق تطوير XRP Ledger ثغرة أمنية حرجة ظلت غير مكتشفة لأكثر من عقد من الزمان، وكان يمكن أن تسمح للجهات الخبيثة بإنشاء رموز XRP بقيمة مليارات الدولارات من العدم. أظهر باحثو الأمن كيف يمكن للمهاجم استغلال الثغرة لتوليد XRP قابل للإنفاق دون أن يمول المرسل الدفعة فعلياً، مما يكسر بشكل أساسي سلامة عرض السجل.
كان الخطأ موجوداً في منطق معالجة المدفوعات للبروتوكول الأساسي لـ XRP Ledger. في الظروف العادية، عندما يرسل المستخدم XRP، يخصم السجل المبلغ من رصيد المرسل ويضيفه إلى المستلم. سمحت الثغرة لمعاملة مصممة بعناية بتجاوز خطوة الخصم مع الاستمرار في إضافة المبلغ للمستلم، مما يخلق فعلياً XRP جديد يمكن بعد ذلك تداوله أو نقله أو بيعه في البورصات.
أبلغ الباحثون الذين اكتشفوا الثغرة عنها بشكل خاص إلى Ripple Labs ومؤسسة XRP Ledger Foundation، مما أدى إلى عملية إفصاح منسقة طارئة. أصدر فريق التطوير نسخة مصححة من برنامج السجل وحث جميع المدققين ومشغلي العقد على التحديث فوراً. نظراً لأن XRP Ledger يعتمد على آلية إجماع تتضمن عقد التحقق، كان التصحيح بحاجة إلى اعتماد سريع عبر الشبكة لمنع الاستغلال.
كان التأثير المحتمل مذهلاً. مع تداول XRP حول 0.50 دولار وعرض متداول يبلغ حوالي 53 مليار رمز، حتى الاستغلال المتواضع الذي يخلق بضعة مليارات من الرموز كان يمكن أن يؤدي إلى انهيار السعر وتدمير الثقة في الأصل. يثير الوجود العشري للخطأ تساؤلات حول ممارسات مراجعة الكود في مشاريع العملات المشفرة التي تدير عشرات المليارات من الدولارات من القيمة، خاصة تلك التي تم إطلاقها قبل أن يصبح التدقيق الأمني الحديث معياراً.
بالنسبة لحاملي XRP، انتهى الخطر الفوري الآن بعد نشر التصحيح واعتماده على نطاق واسع من قبل المدققين. ومع ذلك، يؤكد الحادث على الهشاشة الخفية لأنظمة البلوكشين. على عكس البنية التحتية المالية التقليدية حيث يمكن غالباً التراجع عن الأخطاء أو عكس المعاملات، يمكن أن يكون الاستغلال الناجح في سجل لامركزي لا رجعة فيه إذا نقل المهاجمون الرموز المسروقة أو المزيفة بسرعة كافية عبر خدمات الخلط أو البورصات اللامركزية.
لم يكشف فريق تطوير XRP Ledger عما إذا كان أي مهاجم قد اكتشف واستخدم الثغرة فعلياً قبل التصحيح، على الرغم من أن شركات تحليل السلسلة تمشط الآن بيانات المعاملات التاريخية بحثاً عن الشذوذ. من المتوقع أن ينشر الباحثون الذين وجدوا الخطأ تقريراً فنياً مفصلاً بمجرد مرور وقت كافٍ لتحديث جميع العقد، مما يسمح لمجتمع الأمن الأوسع بالتعلم من الثغرة وتدقيق قواعد الكود المماثلة للمشاكل المشابهة.