В XRP Ledger устранили баг 2015 года с возможностью бесконечной эмиссии XRP
Разработчики RippleX экстренно устранили критическую уязвимость в XRP Ledger, существовавшую с 2015 года и позволявшую несанкционированно создавать новые токены XRP. Ошибку обнаружили исследователи безопасности в конце сентября, после чего инженеры выпустили обновление xrpld 3.4.1.
Механика уязвимости во встроенной бирже
Неполадка крылась в механизме подсчета встроенной децентрализованной биржи XRP Ledger, где пользователи размещают предложения об обмене активов. Потенциальный злоумышленник мог создать сотни аккаунтов, выставить с них микроскопический объем стороннего токена в обмен на аномально крупную сумму XRP и затем выкупить все ордера одной транзакцией.
Из-за сбоя в алгоритме общая сумма причитающихся XRP оказывалась слишком большой для корректного подсчета кодом. В итоге продающие аккаунты получали токены в полном объеме, тогда как со счета покупателя почти ничего не списывалось, что приводило к появлению необеспеченных XRP из ничего.
Обнаружение проблемы и закрытый патч
Уязвимость выявили исследователь Кейден Ляо (Cayden Liao) и команда Veria AI, сообщив о ней разработчикам 22 сентября. Инженеры RippleX успешно воспроизвели атаку на изолированном сервере и убедились, что созданные таким образом токены можно было беспрепятственно расходовать в следующих операциях.
Патч был включен в версию xrpld 3.4.1 и выпущен 25 сентября без предварительного публичного описания закрываемой дыры. В RippleX подчеркнули, что не обнаружили свидетельств применения эксплойта в публичной сети, а жесткий лимит эмиссии в 100 миллиардов монет не был нарушен.
Контекст сетевой безопасности
Для подготовки атаки злоумышленнику требовалось всего несколько сотен XRP для создания множества адресов, причем большую часть средств можно было вернуть за вычетом комиссий сети. Стандартная системная проверка на появление новых монет не срабатывала из-за того же сбоя подсчета, а распределение суммы по сотням кошельков обходило лимит на объем получения XRP одним аккаунтом.
Инцидент пополнил список застарелых уязвимостей, найденных в криптоиндустрии с помощью искусственного интеллекта. Ранее, 9 октября, в XRP Ledger активировали обновление для банков и стейблкоинов, что подчеркивает повышенные требования к стабильности архитектуры сети.
Аналитика
| Монета | Цена | 24 ч | 7 дней | Капитализация |
|---|---|---|---|---|
| XRP XRP | $1,40 | +0,3% | −5,3% | $88,65 млрд |
| Bitcoin BTC | $82 575 | +0,1% | −2,3% | $1,66 трлн |
| Ethereum ETH | $2 491 | −0,3% | −6,9% | $304,22 млрд |
Данные: CoinGecko
- На момент выхода новости XRP торгуется по цене $1,40, прибавив символические 0,3% за последние 24 часа, но потеряв 5,3% за прошедшие 7 дней; капитализация монеты составляет $88,65 млрд при суточном объеме торгов $1,59 млрд, оставаясь на 61,5% ниже своего исторического максимума.
- Широкий рынок криптовалют также сохраняет сдержанную динамику: Bitcoin оценивается в $82 575 с приростом 0,1% за сутки и снижением на 2,3% за неделю, а Ethereum стоит $2 491, потеряв 0,3% за 24 часа и 6,9% за 7 дней.
- Устранение угрозы не вызвало резкой рыночной реакции, так как разработчики закрыли брешь превентивно до того, как злоумышленники смогли повлиять на лимит эмиссии или балансы держателей.
- Внимание сообщества в ближайшее время будет приковано к оперативности перехода всех независимых валидаторов на новую версию xrpld 3.4.1, а также к качеству регулярных проверок базового кода проектов на фоне растущей эффективности инструментов аудита.
Материал носит информационный характер и не является инвестиционной рекомендацией.
Источник: coindesk.com
Обсудить в Telegram
