أصلح فريق الهندسة وتطوير البرمجيات في Ripple، RippleX، ثغرة أمنية خطيرة في دفتر أستاذ XRP (XRPL).

والجدير بالذكر أن الثغرة كان من الممكن أن تتيح للمهاجمين إنشاء نحو 18.45 تريليون XRP في معاملة واحدة، ما قد يتجاوز الحد الأقصى الأصلي لمعروض الشبكة البالغ 100 مليار رمز.

اكتشف باحثون من شركة Veria Labs الناشئة في مجال الأمن السيبراني، ومقرها الولايات المتحدة، الثغرة باستخدام وكيل أمني مدعوم بالذكاء الاصطناعي، طوّر استغلالًا عمليًا لها في بيئة اختبار محلية. وظلت الثغرة غير مكتشفة في شيفرة معالجة المدفوعات في XRPL منذ عام 2015.

في تقرير صدر يوم 12 أكتوبر، حذّر الباحثون من أن الخلل كان قد يعرّض القيمة السوقية المُعلَن عنها لـXRP، والبالغة 94 مليار دولار، للخطر. وتعلقت الثغرة بتجاوز سعة عدد صحيح في محرك المدفوعات الخاص بـXRPL. فعندما تعالج معاملة واحدة عدة أوامر في بورصة لامركزية، قد يحسب البرنامج على نحو خاطئ إجمالي XRP اللازم لتسويتها.

أتاح ذلك للبائعين تلقي كامل المبالغ المرتبطة بأوامرهم، بينما لم يُحمَّل المشتري إلا مبلغ أقل بكثير. وكان من الممكن عندئذٍ أن يمنع خطأ حسابي ثانٍ في آلية حماية المعروض بدفتر الأستاذ رفض المعاملة.

قدّرت Veria Labs أن معاملة ناجحة واحدة كان بإمكانها إنشاء كمية من XRP تفوق المعروض الأصلي لـXRPL بأكثر من 184 مرة. وقال الباحثون أيضًا إن الهجوم كان من الممكن تكراره في الظروف المناسبة.

وقالت Veria Labs: «كان بإمكان مهاجم إنشاء XRP قابل للإنفاق يتجاوز إجمالي المعروض بكثير، وذلك في معاملة واحدة جرى التحقق منها».

أفادت الشركة بأنها أبلغت عن الثغرة في 22 سبتمبر 2026. ودُمج الإصلاح في اليوم التالي، وصدر تحديث البرنامج الطارئ rippled 3.4.1 في 25 سبتمبر.

تجاوزت الاستجابة آلية التعديل المعتادة في XRPL، التي تتطلب عمومًا دعم أكثر من 80% من المدققين الموثوق بهم على مدى أسبوعين.

للتوضيح، اختار المطورون إصدار تحديث فوري للبرنامج، لأن نشر التصحيح مع انتظار عملية الموافقة المعتادة كان من الممكن أن يكشف الثغرة للمهاجمين قبل حماية الشبكة بالكامل. ويفيد الكشف بأن أكثر من 80% من المدققين الافتراضيين حدّثوا برامجهم يوم الإصدار.

ويأتي هذا الكشف عقب حادثة أمنية منفصلة وقعت في أغسطس، سرق فيها مهاجم نحو 200 ألف دولار من جسر tx XRPL العابر للسلاسل. واستُخدم في الهجوم برنامج تعرّف خطأً على المعاملات باعتبارها إيداعات، رغم أن XRP المقابل لم يصل إلى احتياطيات الجسر.

أوقف مشغّل الجسر الخدمة لاحقًا وعالج الثغرة.

ومع ذلك، أعلن مطورو XRPL يوم الأحد عن خطط لتعزيز اختبارات الأمان، من خلال إعادة اختبار الثغرات التي جرى إصلاحها إلزاميًا قبل إصدار التحديثات، وتوسيع نطاق اكتشاف الأخطاء بمساعدة الذكاء الاصطناعي.

«بالتعاون مع RippleX والمجتمع، سنضمن حماية دفتر XRP من مثل هذه الثغرات. وهذا يعني تطبيق التحقق الرسمي والاختبارات العدائية المدعومة بالذكاء الاصطناعي على نطاق واسع، والتعاون الوثيق مع الباحثين الأمنيين، وتعزيز برنامج مكافآت اكتشاف الأخطاء». هذا ما صرّحوا به على X.