XRP Ledger исправил десятилетнюю ошибку, которая могла создать миллиарды фантомных XRP

Исследователи обнаружили критическую уязвимость, позволявшую злоумышленникам генерировать XRP без финансирования транзакций, что вызвало экстренный выпуск программного обеспечения после того, как ошибка оставалась незамеченной десять лет.

Команда разработчиков XRP Ledger исправила критическую уязвимость, которая оставалась необнаруженной более десяти лет и могла позволить злоумышленникам создавать токены XRP на миллиарды долларов из ничего. Исследователи безопасности продемонстрировали, как злоумышленник мог использовать эту ошибку для генерации пригодных к трате XRP без фактического финансирования платежа отправителем, фундаментально нарушая целостность предложения реестра.

Ошибка находилась в логике обработки платежей основного протокола XRP Ledger. При обычных обстоятельствах, когда пользователь отправляет XRP, реестр вычитает сумму из баланса отправителя и зачисляет её получателю. Уязвимость позволяла специально созданной транзакции обойти этап вычитания, всё ещё зачисляя получателю, фактически создавая новый XRP, который затем можно было торговать, передавать или продавать на биржах.

Исследователи, обнаружившие ошибку, сообщили о ней конфиденциально Ripple Labs и XRP Ledger Foundation, что вызвало экстренный процесс координированного раскрытия. Команда разработчиков выпустила исправленную версию программного обеспечения реестра и призвала всех валидаторов и операторов узлов немедленно обновиться. Поскольку XRP Ledger полагается на механизм консенсуса с участием узлов-валидаторов, патч требовал быстрого принятия по всей сети для предотвращения эксплуатации.

Потенциальное воздействие было ошеломляющим. С XRP, торгующимся около $0,50, и циркулирующим предложением примерно в 53 миллиарда токенов, даже умеренная эксплуатация, создающая несколько миллиардов токенов, могла бы обвалить цену и уничтожить доверие к активу. Десятилетнее существование ошибки поднимает вопросы о практиках проверки кода в криптовалютных проектах, управляющих десятками миллиардов долларов стоимости, особенно тех, что запустились до того, как современный аудит безопасности стал стандартом.

Для держателей XRP непосредственный риск миновал теперь, когда патч развёрнут и широко принят валидаторами. Однако инцидент подчёркивает скрытую хрупкость блокчейн-систем. В отличие от традиционной финансовой инфраструктуры, где ошибки часто можно откатить или отменить транзакции, успешная эксплуатация в децентрализованном реестре может быть необратимой, если злоумышленники достаточно быстро перемещают украденные или сфабрикованные токены через сервисы смешивания или децентрализованные биржи.

Команда разработчиков XRP Ledger не раскрыла, фактически ли кто-то из злоумышленников обнаружил и использовал уязвимость до патча, хотя фирмы по анализу в цепи теперь просматривают исторические данные транзакций на предмет аномалий. Ожидается, что исследователи, нашедшие ошибку, опубликуют подробное техническое описание после того, как пройдёт достаточно времени для обновления всех узлов, позволяя более широкому сообществу безопасности учиться на ошибке и проверять похожие кодовые базы на подобные проблемы.