W silniku płatności XRP Ledger od 2015 r. kryła się luka, która mogła pozwolić atakującemu „wybić” wydawalne XRP (XRP) ponad z góry ustalony limit podaży wynoszący 100 mld – poinformowali deweloperzy.
Kluczowe informacje:
- Badacz korzystający z narzędzia AI do analizy bezpieczeństwa zgłosił błąd typu overflow 22 września w ramach programu bug bounty sieci.
- Deweloperzy wdrożyli poprawkę po trzech dniach, po raz pierwszy od ponad dekady pomijając standardowe głosowanie walidatorów.
- Utrzymujący sieć nie znaleźli dowodów, że luka została kiedykolwiek wykorzystana.
Luka pozwalająca fałszować XRP
Zespół odpowiedzialny za XRP Ledger ujawnił podatność w raporcie opublikowanym 9 października, podając, że badacz zgłosił ją 22 września przez program bug bounty sieci. Zespół RippleX, czyli dział deweloperski Ripple, zaklasyfikował błąd jako krytyczny po pomyślnym odtworzeniu ataku. Nie znaleziono żadnych śladów faktycznej eksploatacji luki.
Problem tkwił w silniku płatności, który do zliczania kwoty należnej sprzedającym – gdy pojedyncza płatność realizowała wiele ofert z księgi zleceń jednocześnie – używał niekontrolowanej arytmetyki na 64-bitowych liczbach całkowitych.
Setki celowo błędnie wycenionych ofert mogły przepchnąć łączną wartość ponad maksymalny zakres i „zawinąć” ją do bardzo małej liczby. W efekcie sprzedający dostawali pełną zapłatę, podczas gdy kupujący płacił ułamek należnej kwoty. Wbudowany w ledger mechanizm kontrolujący, czy nie powstaje nowy XRP, korzystał z tej samej arytmetyki, przez co całkowicie ignorował sfałszowane monety.
Zobacz też: GPT-6.1 Sol pomógł Asanie 76-krotnie obniżyć koszty agentów, ale jest haczyk
Wyjaśnienia Caydena Liao
Cayden Liao, współzałożyciel ds. bezpieczeństwa w Veria Labs, napisał na platformie X, że agenta AI jego firmy udało się skierować na lukę oraz zbudować działający exploit. Według jego szacunków pojedyncza transakcja mogła „wybić” około 18 bln XRP. Liao przypuszcza, że błąd latami pozostawał niezauważony, bo „łączy w łańcuch dwa problemy, które osobno miałyby niską wagę”.
Liao dodał, że Ripple wypłaciło Veria Labs maksymalne przewidziane w programie bug bounty wynagrodzenie – 250 tys. dol. J. Ayo Akinyele, szef inżynierii w RippleX, zapowiedział szersze wykorzystanie przez zespół narzędzi AI do wyszukiwania błędów oraz metod formalnej weryfikacji, podkreślając, że sztuczna inteligencja „fundamentalnie zmienia tempo odkrywania podatności”.
Awaryjna poprawka XRPL
Poprawka została wydana w wersji xrpld 3.4.1 w dniu 25 września, trzy dni po zgłoszeniu. Tego samego dnia ponad 80% zaufanych walidatorów przeszło na nową wersję, a zmiana weszła w życie bez standardowego, dwutygodniowego głosowania nad poprawką protokołu – po raz pierwszy od ponad dziesięciu lat. Deweloperzy argumentowali, że przy tradycyjnym podejściu, z upublicznieniem kodu open source, potencjalni atakujący mieliby tygodnie, by przeanalizować błąd, zanim poprawka faktycznie zaczęłaby obowiązywać.
W 2010 r. podobny błąd przepełnienia w sieci Bitcoin (BTC) wygenerował ponad 184 mld monet w jednej transakcji, zanim deweloperzy naprawili problem w ciągu kilku godzin i przeprowadzili fork łańcucha, by je usunąć. W tym roku również Zcash (ZEC) musiał w pośpiechu łatać lukę pozwalającą na fałszowanie tokenów, co wywołało silną wyprzedaż jego kryptowaluty.
Czytaj dalej: Francuscy posiadacze krypto mogą zapłacić nawet 10 000 euro za niezgłoszone portfele
