XRP Ledger виправив десятирічну помилку, яка могла створити мільярди фантомних XRP

Дослідники виявили критичну вразливість, що дозволяла зловмисникам генерувати XRP без фінансування транзакцій, що спричинило екстрений випуск програмного забезпечення після того, як помилка залишалася непоміченою десять років.

Команда розробників XRP Ledger виправила критичну вразливість, яка залишалася невиявленою понад десять років і могла дозволити зловмисникам створювати мільярди доларів токенів XRP з нічого. Дослідники безпеки продемонстрували, як зловмисник міг використати цю помилку для генерації XRP, придатних для витрат, без фактичного фінансування платежу відправником, фундаментально порушуючи цілісність пропозиції реєстру.

Помилка знаходилася в логіці обробки платежів основного протоколу XRP Ledger. За звичайних обставин, коли користувач надсилає XRP, реєстр віднімає суму з балансу відправника і зараховує її одержувачу. Вразливість дозволяла спеціально створеній транзакції обійти етап віднімання, все ще зараховуючи одержувачу, фактично створюючи новий XRP, який потім можна було торгувати, передавати або продавати на біржах.

Дослідники, які виявили помилку, повідомили про неї приватно Ripple Labs та XRP Ledger Foundation, що спричинило екстрений процес координованого розкриття. Команда розробників випустила виправлену версію програмного забезпечення реєстру і закликала всіх валідаторів та операторів вузлів негайно оновитися. Оскільки XRP Ledger покладається на механізм консенсусу за участю вузлів-валідаторів, патч потребував швидкого прийняття по всій мережі для запобігання експлуатації.

Потенційний вплив був приголомшливим. З XRP, що торгується приблизно за $0,50, і обігом близько 53 мільярдів токенів, навіть помірна експлуатація, що створює кілька мільярдів токенів, могла б обвалити ціну і знищити довіру до активу. Десятирічне існування помилки ставить питання про практики перевірки коду в криптовалютних проектах, що управляють десятками мільярдів доларів вартості, особливо тих, що запустилися до того, як сучасний аудит безпеки став стандартом.

Для власників XRP безпосередній ризик минув тепер, коли патч розгорнутий і широко прийнятий валідаторами. Однак інцидент підкреслює приховану крихкість блокчейн-систем. На відміну від традиційної фінансової інфраструктури, де помилки часто можна відкотити або скасувати транзакції, успішна експлуатація в децентралізованому реєстрі може бути незворотною, якщо зловмисники достатньо швидко переміщують вкрадені або сфабриковані токени через сервіси змішування або децентралізовані біржі.

Команда розробників XRP Ledger не розкрила, чи фактично хтось із зловмисників виявив і використав вразливість до патча, хоча фірми з аналізу в ланцюзі тепер переглядають історичні дані транзакцій на предмет аномалій. Очікується, що дослідники, які знайшли помилку, опублікують детальний технічний опис після того, як мине достатньо часу для оновлення всіх вузлів, дозволяючи ширшій спільноті безпеки вчитися на помилці та перевіряти подібні кодові бази на схожі проблеми.