Cacat di mesin pembayaran XRP Ledger yang sudah ada sejak 2015 berpotensi memungkinkan penyerang mencetak XRP (XRP) yang bisa dibelanjakan, melampaui batas maksimum pasokan 100 miliar koin, menurut pengembang.
Poin Penting:
- Seorang peneliti yang memakai alat keamanan berbasis AI melaporkan bug overflow pada 22 September lewat program bug bounty jaringan.
- Pengembang merilis perbaikan tiga hari kemudian, untuk pertama kalinya dalam lebih dari satu dekade tanpa melalui pemungutan suara validator.
- Pengelola jaringan tidak menemukan bukti bahwa cacat ini pernah dieksploitasi.
Bug Pemalsuan XRP
Pengelola XRP Ledger mengungkap kerentanan ini dalam laporan pada 9 Oktober, dengan menyebut bahwa seorang peneliti menemukannya melalui program bug bounty pada 22 September. RippleX, lengan pengembangan dari Ripple, mengklasifikasikannya sebagai bug kritis setelah berhasil mereplikasi skenario serangan. Tim menyatakan tidak menemukan jejak eksploitasi di jaringan.
Masalah overflow tersebut berada di mesin pembayaran, yang menggunakan perhitungan 64-bit tanpa pemeriksaan batas saat menjumlahkan kewajiban pembeli ketika satu transaksi pembayaran mengeksekusi banyak penawaran di order book sekaligus.
Ratusan penawaran yang sengaja diberi harga menyimpang dapat mendorong total kewajiban itu melewati batasnya dan “berbalik” menjadi angka yang sangat kecil. Akibatnya, penjual tetap menerima pembayaran penuh, sementara pembeli membayar hampir nihil. Mekanisme pemeriksaan internal ledger terhadap penerbitan XRP baru menggunakan aritmetika yang sama, sehingga ia ikut gagal mendeteksi koin palsu tersebut.
Baca Juga: GPT-6.1 Sol Membantu Pangkas Biaya Agen Asana 76 Kali Lipat, Tapi Ada Syaratnya
Penjelasan Cayden Liao
Cayden Liao, salah satu pendiri bidang keamanan di Veria Labs, menulis di X bahwa agen AI milik perusahaannya menemukan bug itu dan membangun eksploit yang berfungsi penuh. Menurut perhitungannya, satu transaksi saja secara teoritis bisa “mencetak” sekitar 18 triliun XRP. Ia menduga bug tersebut lolos dari perhatian selama ini karena “menggabungkan dua cacat yang masing-masing tampak berlevel keparahan rendah.”
Liao mengatakan Ripple membayar Veria imbalan bug bounty maksimum sebesar US$250.000. J. Ayo Akinyele, kepala tim rekayasa di RippleX, menyebut pihaknya akan memperluas penggunaan AI untuk perburuan bug dan verifikasi formal, dengan menekankan bahwa AI “secara fundamental mengubah kecepatan penemuan kerentanan.”
Patch Darurat XRPL
Perbaikan dirilis dalam xrpld versi 3.4.1 pada 25 September, tiga hari setelah laporan pertama. Lebih dari 80% validator tepercaya telah menjalankannya di hari yang sama, dan perubahan mulai berlaku tanpa proses pemungutan suara amandemen dua pekan seperti biasanya—sebuah langkah yang belum pernah diambil lebih dari satu dekade. Para pengembang berargumen bahwa bila kode sumber terbuka dirilis melalui prosedur normal, detail bug akan terekspos ke calon penyerang selama berminggu-minggu sebelum patch resmi aktif.
Pada 2010, sebuah bug overflow di Bitcoin (BTC) sempat menciptakan lebih dari 184 miliar koin dalam satu transaksi sebelum para pengembang menambalnya dalam hitungan jam dan melakukan fork untuk menghapus koin tersebut dari rantai blok. Zcash (ZEC) juga sempat berpacu dengan waktu untuk menutup celah pemalsuan koin tahun ini, dan insiden itu menekan harga tokennya dengan tajam.
Selanjutnya: Pemilik Kripto Prancis Bisa Kena Denda Hingga 10.000 Euro untuk Dompet yang Tak Dilaporkan
