Luka w silniku płatności XRP Ledger, obecna od 2015 r., mogła umożliwić atakującym „wybicie” dodatkowego, w pełni wydawalnego XRP (XRP) ponad z góry ustalony limit 100 mld monet – poinformowali deweloperzy.
Kluczowe ustalenia:
- Badacz korzystający z narzędzia AI do analizy bezpieczeństwa zgłosił błąd typu overflow 22 września w ramach programu bug bounty sieci.
- Programiści wdrożyli poprawkę trzy dni później, po raz pierwszy od ponad dekady pomijając standardowe głosowanie walidatorów.
- Utrzymujący sieć nie znaleźli dowodów, by luka została kiedykolwiek wykorzystana.
Błąd pozwalający fałszować XRP
Zespół odpowiedzialny za utrzymanie XRP Ledger ujawnił szczegóły luki w raporcie o podatnościach 9 października. Jak wskazano, 22 września błąd został zgłoszony w ramach programu bug bounty. Deweloperskie ramię Ripple, RippleX, po odtworzeniu ataku nadało mu rangę krytyczną. Zespół nie odnalazł żadnych śladów faktycznego nadużycia.
Luka kryła się w silniku płatności, który przy sumowaniu zobowiązań kupującego – gdy pojedyncza płatność realizowała wiele ofert z księgi zleceń jednocześnie – korzystał z niekontrolowanej arytmetyki 64‑bitowej.
Setki celowo błędnie wycenionych ofert mogły przepchnąć łączną kwotę ponad maksymalną wartość typu liczbowego, powodując „zawinięcie” (overflow) do bardzo małej liczby. W efekcie sprzedający otrzymywali pełną należność, a kupujący płacił niemal nic. Ten sam schemat obliczeń wykorzystywał mechanizm bezpieczeństwa księgi mający powstrzymywać przed tworzeniem nowego XRP, dlatego całkowicie ignorował fałszywie wybite monety.
Zobacz też: GPT-6.1 Sol pomógł Asanie 76-krotnie obniżyć koszty agentów – ale jest haczyk
Cayden Liao wyjaśnia mechanizm
Cayden Liao, współzałożyciel ds. bezpieczeństwa w Veria Labs, napisał na platformie X, że agent AI jego firmy wykrył podatność i zbudował działający exploit. Według jego szacunków jedna transakcja mogła „wybić” nawet ok. 18 bilionów XRP. Liao podejrzewa, że luka pozostawała niezauważona tak długo, ponieważ „łączy dwa błędy, które osobno byłyby ocenione jako niskiej wagi”.
Liao poinformował, że Ripple wypłaciło Veria Labs maksymalną w programie bug bounty nagrodę w wysokości 250 tys. dolarów. J. Ayo Akinyele, szef inżynierii w RippleX, zapowiedział szersze wykorzystanie AI do wyszukiwania błędów i formalnej weryfikacji kodu, podkreślając, że sztuczna inteligencja „fundamentalnie zmienia tempo, w jakim można odkrywać luki”.
Awaryjna poprawka XRPL
Poprawka została wydana w wersji xrpld 3.4.1 już 25 września, trzy dni po zgłoszeniu błędu. Tego samego dnia ponad 80% zaufanych walidatorów przeszło na nową wersję, a zmiana weszła w życie bez typowego, dwutygodniowego głosowania nad poprawką protokołu – po raz pierwszy od ponad dziesięciu lat. Deweloperzy tłumaczyli, że gdyby ujawnili kod open source w ramach standardowej procedury, potencjalni atakujący mieliby tygodnie na analizę luki, zanim łatka zostałaby w pełni aktywowana.
W 2010 r. podobny błąd typu overflow w sieci Bitcoin (BTC) doprowadził do wygenerowania ponad 184 mld monet w pojedynczej transakcji, zanim deweloperzy w ciągu kilku godzin naprawili problem i przeprowadzili forka, aby unieważnić nielegalną emisję. W tym roku również Zcash (ZEC) musiał w trybie pilnym łatać błąd umożliwiający fałszowanie tokenów, co przełożyło się na gwałtowny spadek ich notowań.
Czytaj dalej: Francuscy posiadacze kryptowalut mogą zapłacić nawet 10 000 euro za niezgłoszone portfele
