Geliştiricilere göre, XRP Ledger ödeme motorunda 2015’ten bu yana var olan bir açık, bir saldırganın harcanabilir XRP (XRP) basarak ağın 100 milyar adetlik arz tavanını teoride aşmasına imkân tanıyordu.
Öne çıkanlar:
- Bir araştırmacı, 22 Eylül’de ağın hata ödül programı üzerinden yapay zekâ destekli bir güvenlik aracıyla taşma (overflow) hatasını rapor etti.
- Geliştiriciler, 10 yılı aşkın süredir ilk kez, olağan doğrulayıcı oylamasını atlayarak üç gün içinde yama yayımladı.
- Bakım ekibi, açığın bugüne dek fiilen kullanıldığına dair herhangi bir iz bulamadı.
XRP’de “Sahte Para Basma” Açığı
XRP Ledger bakım ekibi, açığı 9 Ekim tarihli bir zafiyet raporuyla duyurdu. Rapora göre, bir araştırmacı 22 Eylül’de hatayı ağın bug bounty programı üzerinden bildirdi. Ripple’ın geliştirme kolu RippleX, saldırıyı başarıyla yeniden ürettikten sonra zafiyeti “kritik” olarak derecelendirdi. Ekip, geçmiş bloklarda herhangi bir istismar emaresine rastlamadığını vurguladı.
Sorun, ödeme motorundaki 64 bitlik kontrolsüz aritmetikten kaynaklanıyordu. Motor, tek bir ödemenin birden fazla emir defteri emrini aynı anda karşılaması durumunda, alıcının ödemesi gereken toplam tutarı bu kontrolsüz hesaplama ile bir araya getiriyordu.
Yüzlerce kasıtlı olarak yanlış fiyatlanmış emir, bu toplamı üst sınırın ötesine iterek değerin tekrar düşük bir sayıya sarmalanmasına (wrap-around) yol açabiliyordu. Böylece satıcılar ödemelerini tam alırken, alıcı neredeyse hiçbir şey ödemeden işlemi tamamlayabiliyordu. Ledger’ın yeni XRP yaratımını engelleyen güvenlik kontrolü de aynı aritmetiği kullandığı için, sistemi kandıran sahte XRP’leri tamamen gözden kaçırıyordu.
Ayrıca Oku: GPT-6.1 Sol Asana’nın Yapay Zekâ Aracının Maliyetini 76 Kat Düşürdü, Ama Bir Püf Noktası Var
Cayden Liao’dan Teknik Değerlendirme
Veria Labs’ın güvenlik ortak kurucusu Cayden Liao, şirketin yapay zekâ ajanının hatayı tespit edip çalışan bir istismar senaryosu oluşturduğunu X’te paylaştı. Liao’nun hesabına göre, tek bir işlemde yaklaşık 18 trilyon XRP basılabilirdi. Liao, açığın yıllarca fark edilmemesini, “tek başına düşük önem derecesine sahip iki hatanın zincirleme kullanılması”na bağlıyor.
Liao, Ripple’ın Veria’ya program kapsamındaki azami 250.000 dolarlık ödülü ödediğini söyledi. J. Ayo Akinyele, RippleX mühendislik ekibinin başındaki isim olarak, yapay zekâ destekli hata avcılığı ve biçimsel doğrulama araçlarını çok daha geniş ölçekte kullanacaklarını belirterek, yapay zekânın “zafiyetlerin keşfedilme hızını kökten değiştirdiğini” ifade etti.
XRPL’de Olağanüstü Yama Süreci
Yama, rapordan üç gün sonra, 25 Eylül’de yayımlanan xrpld 3.4.1 sürümüyle devreye alındı. O gün itibarıyla güvenilir doğrulayıcıların yüzde 80’inden fazlası güncellemeyi kurdu; değişiklik, alışıldık iki haftalık “amendment” oylaması beklenmeden etkinleştirildi. Bu, ağda on yılı aşkın süredir görülmeyen istisnai bir adım oldu. Geliştiriciler, sürecin normal işlemesi halinde açık kaynak kodun haftalarca saldırganlara yol haritası sunacağını, dolayısıyla riskin kabul edilemez boyuta çıkacağını savundu.
Kripto tarihinde benzer bir olay 2010’da Bitcoin (BTC) tarafında yaşanmıştı: Bir taşma hatası, tek bir işlemde 184 milyardan fazla BTC’nin üretilmesine yol açmış, geliştiriciler ise birkaç saat içinde düzeltme yayımlayıp zinciri çatallayarak bu fazladan coin’leri silmişti. Zcash (ZEC) ekibi de bu yıl benzer bir sahte para basma açığını hızla yamalamak zorunda kalmış, söz konusu panik token üzerinde sert satış baskısı yaratmıştı.
Sıradaki Haber: Fransız Kripto Yatırımcıları Beyan Edilmemiş Cüzdanlar İçin 10.000 Euro’ya Kadar Ceza Ödeyebilir
