XRP Ledger Perbaiki Celah Lama yang Berpotensi Mencetak Miliaran XRP

Sebuah kelemahan pada sistem pembayaran XRP Ledger berpotensi memungkinkan penyerang menciptakan XRP baru dalam jumlah sangat besar tanpa biaya, melanggar aturan pasokan tetap token tersebut, menurut laporan keamanan yang dipublikasikan Jumat. Celah yang diyakini sudah ada sejak 2015 ini ditemukan oleh peneliti Cayden Liao dan Veria AI, lalu dilaporkan secara internal pada 22 September. Insinyur RippleX, unit pengembang Ripple, mereplikasi skenario serangan di server terpisah dan mengonfirmasi bahwa XRP yang "tercipta" itu bisa dibelanjakan pada transaksi berikutnya. RippleX menyatakan tidak menemukan bukti celah tersebut pernah dieksploitasi di jaringan publik. Secara desain, seluruh 100 miliar XRP sudah dibuat saat ledger diluncurkan pada 2012 dan perangkat lunaknya dibangun agar tidak ada XRP tambahan yang bisa ditambahkan. Kerentanan ini, jika disalahgunakan, dapat memungkinkan pelaku mencetak XRP dari nol lalu menjualnya di bursa, merusak batas pasokan yang menjadi pegangan institusi pengguna jaringan. Mekanismenya memanfaatkan bursa bawaan ledger, tempat akun memasang penawaran untuk menukar satu token dengan token lain. Penyerang dapat membuka ratusan akun, masing-masing memasang penawaran menukar jumlah token yang sangat kecil dengan jumlah XRP yang tidak lazim besar, lalu mengirim satu pembayaran yang membeli semua penawaran sekaligus. Total XRP yang seharusnya dibayarkan menjadi terlalu besar untuk dihitung dengan benar, sehingga akun-akun penjual dibayar penuh sementara akun pembeli hanya didebit hampir nol. Akibatnya, penyerang memperoleh XRP yang sebelumnya tidak pernah ada. XRP Ledger melakukan pemeriksaan setelah setiap transaksi untuk memastikan tidak ada XRP baru yang muncul, tetapi pemeriksaan itu bergantung pada total yang sama-sama salah hitung sehingga luput mendeteksi. Batas terpisah mengenai jumlah XRP yang dapat diterima satu akun juga tidak terpicu karena XRP disebar ke ratusan akun. Metode para peneliti hanya membutuhkan beberapa ratus XRP untuk membuka akun-akun tersebut (sebagian besar dapat dipulihkan kembali), ditambah biaya transaksi. Perbaikan telah dirilis dalam xrpld 3.4.1, perangkat lunak server ledger, pada 25 September tanpa mengungkap detail apa yang diperbaiki. Insiden ini menambah daftar kerentanan kripto yang lama tersembunyi dan belakangan terungkap dengan bantuan AI sejak Juli, termasuk bug dompet Coldcard yang dikaitkan dengan pencurian setidaknya 1.367 BTC serta kerentanan yang mendorong Core Lightning meminta operator node bitcoin untuk memutus koneksi. Baca juga: XRP Ledger menambahkan kontrol baru untuk bank, stablecoin, dan dana bertokenisasi.