XRP Ledger усунув десятирічну вразливість, яка могла "надрукувати" мільярди XRP

У платіжному механізмі XRP Ledger виявили вразливість, яка потенційно дозволяла зловмиснику створювати великі обсяги нового XRP без витрат і тим самим порушувати правило фіксованої пропозиції токена. Про це йдеться у звіті з кібербезпеки, опублікованому в п'ятницю. За оцінками, помилка тягнеться щонайменше з 2015 року. Її знайшли дослідник Cayden Liao та Veria AI і 22 вересня повідомили про проблему в приватному порядку. Інженери RippleX — розробницького підрозділу Ripple — відтворили атаку на окремому сервері та підтвердили, що "створений" XRP можна було витратити в наступній транзакції. У RippleX заявили, що не мають доказів експлуатації цієї вади в будь-якій публічній мережі. Усі 100 млрд XRP були створені під час запуску реєстру у 2012 році, а архітектура програмного забезпечення передбачає, що додати нові монети неможливо. Попри це, описана вразливість могла дати змогу "створювати XRP з повітря" та продавати його на біржах, підриваючи ліміт пропозиції, на який спираються інституційні користувачі мережі. Сценарій атаки проходив через вбудовану біржу реєстру, де акаунти виставляють пропозиції обміну одного токена на інший. Зловмисник відкривав сотні акаунтів і з кожного розміщував офер: віддати мізерну кількість певного токена в обмін на непропорційно велику кількість XRP. Потім відправляв один платіж, який одночасно "викупляв" усі ці офери. Через надто великий підсумковий обсяг XRP, який мав бути сплачений, софт некоректно підраховував загальну суму: акаунти-продавці отримували виплату повністю, а з акаунта-покупця списувалася майже нульова величина. У результаті в руках атакувальника опинявся XRP, якого до цього не існувало. XRP Ledger перевіряє після кожної транзакції, що новий XRP не з'явився. Але ця перевірка спиралася на той самий хибний підрахунок і могла не помітити проблему. Окреме обмеження на максимальний обсяг XRP, який може отримати один акаунт, теж не спрацьовувало, оскільки в атаці XRP розподілявся між сотнями акаунтів. Для реалізації методу, за словами дослідників, було достатньо лише кількох сотень XRP на відкриття цих акаунтів (більшість коштів можна було повернути), а також комісій за транзакції. Розробники випустили виправлення у версії xrpld 3.4.1 — серверного ПЗ реєстру — 25 вересня, не розкривши, що саме було усунуто. Інцидент поповнив перелік давніх криптовразливостей, які почали масово спливати з липня за допомогою ШІ. Серед них — баг у гаманці Coldcard, який пов'язують із викраденням щонайменше 1 367 BTC, а також вразливості, через які Core Lightning рекомендував операторам біткоїн-вузлів від'єднуватися від мережі. Детальніше: XRP Ledger додає нові механізми контролю для банків, стейблкоїнів і токенізованих фондів.