Geliştiricilere göre, 2015’ten bu yana XRP Ledger ödeme motorunda var olan bir açık, saldırganların harcanabilir XRP (XRP) miktarını 100 milyar arz tavanının ötesine taşımasına imkân verebilirdi.
Öne çıkanlar:
- Bir araştırmacı, 22 Eylül’de ağın hata ödül programı üzerinden taşma (overflow) hatasını, bir yapay zekâ güvenlik aracı kullanarak rapor etti.
- Geliştiriciler, on yılı aşkın süredir ilk kez olağan doğrulayıcı oylamasını atlayarak, üç gün içinde yamayı yayımladı.
- Bakım ekibi, açığın şimdiye dek kötüye kullanıldığına dair hiçbir iz bulamadı.
XRP’de Sahte Para Basımına Yol Açabilecek Hata
XRP Ledger bakım ekibi, 9 Ekim’de yayımladığı bir güvenlik zafiyeti raporunda açığı duyurdu ve bir araştırmacının 22 Eylül’de bunu hata ödül programı üzerinden bildirdiğini açıkladı. Ripple’ın geliştirici kolu RippleX, saldırıyı yeniden ürettikten sonra zafiyeti “kritik” seviyede derecelendirdi. Ekip, bugüne kadar açığın istismar edildiğine dair hiçbir emareye rastlamadığını vurguladı.
Hata, ödeme motorundaki 64 bitlik, sınır kontrolleri yapılmamış aritmetik işlemlerden kaynaklanıyordu. Motor, tek bir ödeme emrinin aynı anda birden çok emir defteri teklifini doldurması halinde alıcının toplam borcunu bu hesaplama ile çıkarıyordu.
Yüzlerce kasıtlı olarak yanlış fiyatlanmış teklif, bu toplam borcun üst limite çarpmasını ve yeniden küçük bir değere “sarmalanmasını” sağlayabiliyordu. Böylece satıcılar ödemelerini tam alırken, alıcı neredeyse hiçbir şey ödemeden işlemi tamamlayabiliyordu. Defterin yeni XRP basımını engellemek için kullandığı güvenlik kontrolü de aynı aritmetiği kullanıyordu ve bu nedenle sahte bakiyeleri tamamen gözden kaçırıyordu.
Ayrıca Oku: GPT-6.1 Sol, Asana’nın Yapay Zekâ Aracı Maliyetini 76 Kat Düşürdü, Ama Bir Şartla
Cayden Liao Detayları Anlatıyor
Veria Labs’ın güvenlik ortak kurucusu Cayden Liao, şirketin yapay zekâ ajanının açığı bulduğunu ve çalışır durumdaki bir istismar aracı geliştirdiğini, X üzerinde paylaştı. Liao’nun hesabına göre tek bir işlemle yaklaşık 18 trilyon XRP basılabilirdi. Liao, hatanın daha önce tespit edilmemesini, “tek başına düşük önem derecesine sahip iki ayrı hatanın zincirlenmesine” bağlıyor.
Liao, Ripple’ın Veria’ya program kapsamındaki azami ödül olan 250.000 doları ödediğini belirtti. RippleX mühendislik yöneticisi J. Ayo Akinyele, yapay zekâ destekli hata avcılığı ve biçimsel doğrulama araçlarını daha yaygın kullanacaklarını, yapay zekânın “zafiyetlerin keşif hızını kökten değiştirdiğini” söyledi.
XRPL’de Olağanüstü Yama Süreci
Yama, rapordan üç gün sonra, 25 Eylül’de yayımlanan xrpld 3.4.1 sürümüne eklendi. Aynı gün güvenilir doğrulayıcıların yüzde 80’inden fazlası güncellemeyi devreye aldı ve değişiklik, on yılı aşkın süredir uygulanan iki haftalık olağan “değişiklik oylaması” süreci işletilmeden yürürlüğe girdi. Geliştiriciler, her zamanki açık kaynak süreç izlenirse, yamadan önce haftalarca saldırganlara rehberlik edecek kodun ortada kalacağı uyarısında bulundu.
2010’da Bitcoin’de (BTC) yaşanan benzer bir taşma hatası, tek bir işlemde 184 milyardan fazla coin’in üretilmesine yol açmış, ancak geliştiriciler birkaç saat içinde sorunu düzelterek zinciri çatallamış ve sahte bakiyeleri silmişti. Zcash (ZEC) de bu yıl benzer bir sahte para basım açığını apar topar yamamış, haberlerin ardından token sert değer kaybı yaşamıştı.
Sıradaki Haber: Fransız Kripto Yatırımcıları Bildirilmemiş Cüzdanlar İçin 10.000 Euro’ya Kadar Ceza Ödeyebilir
