أتاح خلل في محرك المدفوعات بسجل XRP لدفعة واحدة إصدار وحدات XRP من العدم. ظل الخلل في الشيفرة نحو عقد، ونُشر الإصلاح قبل أن يتمكن أحد من الاطلاع عليه.

جمع المحرك ما يدين به المشتري عبر العروض باستخدام عدّاد عادي بسعة 64 بت. دفعت بضع مئات من العروض المصممة خصيصًا، يطلب كل منها كمية هائلة من XRP، الإجمالي إلى ما يتجاوز الحد، فالتفّ العداد وعاد إلى ما يقارب الصفر. تلقّى البائعون كامل المبلغ، بينما لم يدفع المشتري إلا القليل جدًا، كما أن فحص «عدم إنشاء XRP» استخدم العداد نفسه، فلم يرَ شيئًا.

بحساباتنا، يبلغ الحد الأقصى لذلك العداد نحو 9.2 تريليون XRP، أي قرابة 92 ضعفًا من إجمالي المعروض البالغ 100 مليار. لا يجوز لأي حساب أن يحتفظ بأكثر من إجمالي المعروض، لذا احتاج الهجوم إلى 93 حسابًا مستقبِلًا على الأقل.

أبلغ كايدن لياو وVeria AI عن الخلل عبر برنامج مكافآت اكتشاف الثغرات في XRPL في 22 سبتمبر. صدر xrpld 3.4.1 في 25 سبتمبر مع حجب شيفرته المصدرية، وشغّله في ذلك اليوم أكثر من 80% من مُدقّقي UNL الافتراضيين. وقد تجاوز تصويت التعديل، في سابقة هي الأولى لإصلاح يعالج معاملات منذ أكثر من عشر سنوات. ولم تعثر RippleX على أي دليل على استخدامه قط على شبكة عامة.

نحو عشر سنوات في الشيفرة. وثلاثة أيام لإصلاحه.

$XRP
#XRP #CryptoSecurity
ليست نصيحة مالية. أجرِ بحثك بنفسك.