Un bug nel motore dei pagamenti di XRP Ledger, presente dal 2015, avrebbe potuto consentire a un attaccante di creare XRP (XRP) spendibili oltre il limite di offerta di 100 miliardi di token, secondo quanto riferito dagli sviluppatori.
Punti chiave:
- Un ricercatore che utilizzava uno strumento di sicurezza basato su AI ha segnalato il bug di overflow il 22 settembre tramite il programma di bug bounty del network.
- Gli sviluppatori hanno rilasciato una patch tre giorni dopo, saltando per la prima volta da oltre dieci anni il consueto voto dei validatori.
- I manutentori non hanno trovato alcuna prova che la vulnerabilità sia mai stata sfruttata.
Il bug di falsificazione di XRP
I manutentori di XRP Ledger hanno reso nota la falla in un rapporto di vulnerabilità pubblicato il 9 ottobre, spiegando che un ricercatore l’aveva segnalata il 22 settembre tramite il programma di bug bounty del network. RippleX, il braccio di sviluppo di Ripple, ha classificato il bug come critico dopo aver riprodotto con successo l’attacco. Il team non ha rilevato alcun segnale di sfruttamento in produzione.
Il bug di overflow risiedeva nel motore dei pagamenti, che usava operazioni matematiche a 64 bit non verificate per calcolare quanto un acquirente dovesse pagare quando un singolo pagamento andava a riempire più ordini a libro contemporaneamente.
Centinaia di ordini volutamente prezzati in modo errato potevano spingere quel totale oltre il limite massimo consentito, facendolo “avvolgere” fino a un valore molto piccolo: così i venditori venivano pagati per intero mentre l’acquirente sostanzialmente non pagava quasi nulla. Il meccanismo di controllo interno del ledger contro la creazione di nuovi XRP si basava sulla stessa aritmetica, e per questo non rilevava affatto le monete contraffatte.
Da leggere anche: GPT-6.1 Sol ha aiutato Asana a ridurre i costi degli agenti di 76 volte, ma c’è un rovescio della medaglia
Le spiegazioni di Cayden Liao
Cayden Liao, cofondatore responsabile della sicurezza di Veria Labs, ha scritto su X che l’agente AI dell’azienda ha individuato il bug e sviluppato un exploit funzionante. Secondo le sue stime, una sola transazione avrebbe potuto “coniare” circa 18 trilioni di XRP. Liao ritiene che la vulnerabilità sia rimasta inosservata così a lungo perché «mette in catena due bug che, presi singolarmente, sarebbero di bassa gravità».
Liao ha aggiunto che Ripple ha riconosciuto a Veria Labs il bounty massimo previsto dal programma, pari a 250.000 dollari. J. Ayo Akinyele, responsabile dell’ingegneria in RippleX, ha dichiarato che il team intensificherà l’uso di strumenti di ricerca bug assistiti dall’intelligenza artificiale e di tecniche di verifica formale, sottolineando come l’AI stia «cambiando radicalmente la velocità con cui le vulnerabilità possono essere scoperte».
Patch di emergenza su XRPL
La correzione è stata distribuita con la versione 3.4.1 di xrpld il 25 settembre, appena tre giorni dopo la segnalazione. Più dell’80% dei validatori considerati affidabili ha aggiornato il software in giornata e la modifica è entrata in vigore senza il consueto voto di due settimane sugli amendment, un’eccezione che non si vedeva da oltre un decennio. Gli sviluppatori hanno motivato la scelta spiegando che pubblicare il codice open source seguendo il normale iter avrebbe esposto il bug agli attaccanti per settimane, prima che la patch diventasse effettiva.
Nel 2010, un bug di overflow in Bitcoin (BTC) generò oltre 184 miliardi di coin in una sola transazione, prima che gli sviluppatori lo correggessero nel giro di poche ore, procedendo a un fork della blockchain per cancellare le monete create. Anche Zcash (ZEC) ha dovuto correre ai ripari quest’anno per una vulnerabilità di falsificazione, e l’episodio ha innescato un forte calo del token.
Da leggere poi: I crypto‑investitori francesi rischiano fino a 10.000 euro per wallet non dichiarati
