ثغرة مخفية في شيفرة XRP لأكثر من 10 سنوات: معاملة واحدة كان يمكنها نظريًا إنشاء نحو 18 تريليون XRP من العدم 😳
الحد الأقصى لإجمالي XRP هو 100 مليار. وبحسب تقدير مكتشف الثغرة، كان بإمكانها إنشاء نحو 184 ضعف هذا الإجمالي دفعة واحدة.
لنبدأ بالخبر الجيد: أكدت مؤسسة XRP Ledger أنه لم تتم إضافة أي XRP على السلسلة، وقد أُصلحت الثغرة في الإصدار 3.4.1. ويبلغ عدد العملات المتداولة حاليًا في السجل نحو 99.986 مليارًا.
📌 ما قصة الثغرة؟
1️⃣ تكمن المشكلة في محرك المدفوعات: عندما تستهلك دفعة واحدة عددًا كبيرًا من أوامر البيع، لا يُتحقق من تجاوز السعة أثناء الجمع. وعندما يصبح الرقم كبيرًا بما يكفي، يلتف ليصبح قيمة صغيرة جدًا.
2️⃣ فكرة الهجوم: إنشاء مئات الحسابات، يضع كل منها كمية صغيرة من الرموز مقابل كمية كبيرة من XRP، ثم تنفيذ جميع الصفقات في دفعة واحدة. يحصل البائعون على كامل كمية XRP، بينما لا يدفع المشتري سوى بضع مئات من وحدات «دروب» إضافةً إلى الرسوم.
3️⃣ كان هناك أيضًا خلل مشابه في فحص إضافة XRP، ولذلك لم يمنع الهجوم.
4️⃣ كانت هذه الشيفرة موجودة منذ عام 2015، وقال المطورون إنهم لم يعثروا على أي دليل على استغلالها في أي شبكة عامة.
🤖 من اكتشفها؟
وكيل ذكاء اصطناعي تابع لشركة أمن الذكاء الاصطناعي Veria Labs. أرسل تقريره في 22 سبتمبر، وكتب أيضًا شيفرة هجوم قابلة للتنفيذ. أصدرت RippleX الإصلاح بعد ثلاثة أيام، ودفعت Ripple الحد الأقصى لمكافأة اكتشاف الثغرات، وهو 250 ألف دولار. وبحسب Veria، فهذه أعلى مكافأة مُنحت لثغرة اكتشفها الذكاء الاصطناعي وحده.
🔒 وطريقة الإصلاح غير مألوفة أيضًا
لم يُتبع النهج المعتاد، أي إصدار التحديث علنًا أولًا ثم انتظار أسبوعين للتصويت؛ بل أصبح التصحيح ساريًا مباشرةً مع ترقية العُقد. والسبب الرسمي: نشر التصحيح علنًا يكشف للمهاجمين خيوطًا تساعدهم، ومع قدرة الذكاء الاصطناعي الآن على تسريع تحليل الثغرات، فإن الانتظار أسبوعين ينطوي على مخاطرة كبيرة.
ثلاثة أمور أراها:
• عُدّ كل من الخللين على حدة منخفض الخطورة، لكن جمعهما معًا جعلهما كارثيين. طول عمر سلسلة قديمة لا يعني خلو شيفرتها من المشكلات.
• يتزايد تسارع اكتشاف الذكاء الاصطناعي للثغرات، ويستخدمه طرفا الهجوم والدفاع. وقد يصبح الإصلاح قبل الإعلان العلني أكثر شيوعًا، ما سيثير بالتأكيد نقاشًا حول كيفية الموازنة بين الشفافية والأمان.
• لمن يملكون XRP: لا حاجة إلى اتخاذ أي إجراء بشأن العملات الموجودة في منصات التداول أو المحافظ المعتادة، كما أن إجمالي المعروض لم يتغير. أما من يشغّلون عُقدًا بأنفسهم، فعليهم التأكد من تحديثها.
هل ترى أن إصلاح المشروع للثغرة بهدوء ثم الإعلان عنها تصرف مسؤول، أم أنه يفتقر إلى الشفافية؟
ما سبق رأي شخصي فقط، ولا يشكل نصيحة استثمارية. أجرِ بحثك الخاص.
#XRP #加密安全 #AI #Ripple
الحد الأقصى لإجمالي XRP هو 100 مليار. وبحسب تقدير مكتشف الثغرة، كان بإمكانها إنشاء نحو 184 ضعف هذا الإجمالي دفعة واحدة.
لنبدأ بالخبر الجيد: أكدت مؤسسة XRP Ledger أنه لم تتم إضافة أي XRP على السلسلة، وقد أُصلحت الثغرة في الإصدار 3.4.1. ويبلغ عدد العملات المتداولة حاليًا في السجل نحو 99.986 مليارًا.
📌 ما قصة الثغرة؟
1️⃣ تكمن المشكلة في محرك المدفوعات: عندما تستهلك دفعة واحدة عددًا كبيرًا من أوامر البيع، لا يُتحقق من تجاوز السعة أثناء الجمع. وعندما يصبح الرقم كبيرًا بما يكفي، يلتف ليصبح قيمة صغيرة جدًا.
2️⃣ فكرة الهجوم: إنشاء مئات الحسابات، يضع كل منها كمية صغيرة من الرموز مقابل كمية كبيرة من XRP، ثم تنفيذ جميع الصفقات في دفعة واحدة. يحصل البائعون على كامل كمية XRP، بينما لا يدفع المشتري سوى بضع مئات من وحدات «دروب» إضافةً إلى الرسوم.
3️⃣ كان هناك أيضًا خلل مشابه في فحص إضافة XRP، ولذلك لم يمنع الهجوم.
4️⃣ كانت هذه الشيفرة موجودة منذ عام 2015، وقال المطورون إنهم لم يعثروا على أي دليل على استغلالها في أي شبكة عامة.
🤖 من اكتشفها؟
وكيل ذكاء اصطناعي تابع لشركة أمن الذكاء الاصطناعي Veria Labs. أرسل تقريره في 22 سبتمبر، وكتب أيضًا شيفرة هجوم قابلة للتنفيذ. أصدرت RippleX الإصلاح بعد ثلاثة أيام، ودفعت Ripple الحد الأقصى لمكافأة اكتشاف الثغرات، وهو 250 ألف دولار. وبحسب Veria، فهذه أعلى مكافأة مُنحت لثغرة اكتشفها الذكاء الاصطناعي وحده.
🔒 وطريقة الإصلاح غير مألوفة أيضًا
لم يُتبع النهج المعتاد، أي إصدار التحديث علنًا أولًا ثم انتظار أسبوعين للتصويت؛ بل أصبح التصحيح ساريًا مباشرةً مع ترقية العُقد. والسبب الرسمي: نشر التصحيح علنًا يكشف للمهاجمين خيوطًا تساعدهم، ومع قدرة الذكاء الاصطناعي الآن على تسريع تحليل الثغرات، فإن الانتظار أسبوعين ينطوي على مخاطرة كبيرة.
ثلاثة أمور أراها:
• عُدّ كل من الخللين على حدة منخفض الخطورة، لكن جمعهما معًا جعلهما كارثيين. طول عمر سلسلة قديمة لا يعني خلو شيفرتها من المشكلات.
• يتزايد تسارع اكتشاف الذكاء الاصطناعي للثغرات، ويستخدمه طرفا الهجوم والدفاع. وقد يصبح الإصلاح قبل الإعلان العلني أكثر شيوعًا، ما سيثير بالتأكيد نقاشًا حول كيفية الموازنة بين الشفافية والأمان.
• لمن يملكون XRP: لا حاجة إلى اتخاذ أي إجراء بشأن العملات الموجودة في منصات التداول أو المحافظ المعتادة، كما أن إجمالي المعروض لم يتغير. أما من يشغّلون عُقدًا بأنفسهم، فعليهم التأكد من تحديثها.
هل ترى أن إصلاح المشروع للثغرة بهدوء ثم الإعلان عنها تصرف مسؤول، أم أنه يفتقر إلى الشفافية؟
ما سبق رأي شخصي فقط، ولا يشكل نصيحة استثمارية. أجرِ بحثك الخاص.
#XRP #加密安全 #AI #Ripple