XRP Ledger załatał dziesięcioletnią lukę, która mogła stworzyć miliardy fantomowych XRP

Badacze odkryli krytyczną lukę pozwalającą atakującym generować wydawalne XRP bez finansowania transakcji, co wywołało awaryjne wydanie oprogramowania po tym, jak wada pozostawała ukryta przez dziesięć lat.

Zespół programistów XRP Ledger załatał krytyczną lukę, która pozostawała niewykryta przez ponad dekadę i mogła pozwolić złośliwym aktorom na tworzenie tokenów XRP o wartości miliardów dolarów z niczego. Badacze bezpieczeństwa zademonistrowali, jak atakujący może wykorzystać tę lukę do generowania wydawalnych XRP bez rzeczywistego finansowania płatności przez nadawcę, fundamentalnie łamiąc integralność podaży księgi.

Błąd znajdował się w logice przetwarzania płatności protokołu podstawowego XRP Ledger. W normalnych warunkach, gdy użytkownik wysyła XRP, księga odlicza kwotę od salda nadawcy i przypisuje ją odbiorcy. Luka pozwalała starannie spreparowanej transakcji ominąć etap odliczania, wciąż przypisując odbiorcy, skutecznie przywoływując nowe XRP do istnienia, które można następnie handlować, przenosić lub sprzedawać na giełdach.

Badacze, którzy odkryli lukę, zgłosili ją prywatnie do Ripple Labs i XRP Ledger Foundation, uruchamiając awaryjny proces skoordynowanego ujawnienia. Zespół programistów wydał załataną wersję oprogramowania księgi i wezwał wszystkich walidatorów i operatorów węzłów do natychmiastowej aktualizacji. Ponieważ XRP Ledger opiera się na mechanizmie konsensusu obejmującym węzły walidacyjne, łatka wymagała szybkiego przyjęcia w całej sieci, aby zapobiec wykorzystaniu.

Potencjalny wpływ był oszałamiający. Z XRP handlującym w okolicach 0,50 USD i podażą w obiegu około 53 miliardów tokenów, nawet skromne wykorzystanie tworzące kilka miliardów tokenów mogło spowodować załamanie ceny i zniszczyć zaufanie do aktywów. Dziesięcioletnie istnienie błędu rodzi pytania o praktyki przeglądu kodu w projektach kryptowalutowych zarządzających dziesiątkami miliardów dolarów wartości, szczególnie tych uruchomionych przed tym, jak współczesny audyt bezpieczeństwa stał się standardem.

Dla posiadaczy XRP natychmiastowe ryzyko minęło teraz, gdy łatka jest wdrożona i szeroko przyjęta przez walidatorów. Jednak incydent podkreśla ukrytą kruchość systemów blockchain. W przeciwieństwie do tradycyjnej infrastruktury finansowej, gdzie błędy często można wycofać lub transakcje odwrócić, udane wykorzystanie w zdecentralizowanej księdze może być nieodwracalne, jeśli atakujący przeniosą skradzione lub sfabrykowane tokeny wystarczająco szybko przez usługi mieszania lub zdecentralizowane giełdy.

Zespół programistów XRP Ledger nie ujawnił, czy jakikolwiek atakujący faktycznie odkrył i wykorzystał lukę przed łatką, chociaż firmy zajmujące się analizą on-chain przeczesują teraz historyczne dane transakcji w poszukiwaniu anomalii. Oczekuje się, że badacze, którzy znaleźli błąd, opublikują szczegółowy raport techniczny po upływie wystarczającego czasu na aktualizację wszystkich węzłów, umożliwiając szerszej społeczności bezpieczeństwa uczenie się na podstawie wady i audytowanie podobnych baz kodu pod kątem porównywalnych problemów.