أصلح دفتر أستاذ XRP (XRPL) ثغرة خطيرة كان من المحتمل أن تكون موجودة منذ نحو عام 2015. اكتشف الثغرة الباحثان الأمنيان كايدن لياو وفيريا لابز، وكان من الممكن نظريًا أن تتيح لمهاجم إنشاء نحو 18.45 تريليون وحدة XRP قابلة للإنفاق من خلال معاملة مصممة خصيصًا، وهو ما يفوق بكثير الحد الأقصى الرسمي لمعروض الشبكة، البالغ 100 مليار وحدة. لكن المحققين لم يعثروا على أي دليل يشير إلى استغلال الثغرة في أي وقت.
تعلقت المشكلة بتجاوز سعة عدد صحيح في محرك معالجة المدفوعات في XRPL، ما قد يؤدي إلى احتساب المدفوعات على نحو غير صحيح في المعاملات المعقدة التي تتضمن عروضًا متعددة في دفتر الأوامر. وفي اختبار خاضع للرقابة، أظهرت الثغرة إمكانية تعويض البائعين بالكامل مع تحصيل مبالغ زهيدة للغاية من المشترين. والأكثر إثارة للقلق أن آلية الحماية من تجاوز حد المعروض اعتمدت على الحسابات المعيبة نفسها، ما قد يتيح إنشاء وحدات XRP دون تصريح من دون اكتشاف ذلك.
بعد تلقي تقرير الثغرة في 22 سبتمبر، أعاد مهندسو RippleX إنتاج المشكلة، وصنّفوها على أنها حرجة، وأصدروا إصلاحًا طارئًا عبر الإصدار 3.4.1 من xrpld في 25 سبتمبر. وأفادت التقارير بأن أكثر من 80% من المدقّقين اعتمدوا التحديث في اليوم نفسه. وللحد من مخاطر الاستغلال، تجاوز المطورون آلية التعديل المعتادة في XRPL، التي تتطلب عادةً دعمًا مستمرًا من المدقّقين لمدة تقارب أسبوعين.
أكدت كل من RippleX ومؤسسة سجل XRP عدم رصد أي إصدار غير مصرّح به لعملة XRP، وأن الحد الأقصى لمعروض الشبكة، البالغ 100 مليار، ظل سليمًا. ومع ذلك، أثارت الحادثة تساؤلات حول التوازن بين الحوكمة اللامركزية والحاجة إلى الاستجابة الأمنية السريعة.
استجابةً لذلك، تعتزم Ripple تعزيز برنامج مكافآت اكتشاف الأخطاء، وتوسيع نطاق تحليل الشيفرة بمساعدة الذكاء الاصطناعي، واعتماد التحقق الرسمي لمكونات السجل الحيوية. وتهدف هذه الإجراءات إلى اكتشاف ثغرات مماثلة في وقت أبكر وتعزيز الثقة بأمن XRPL.
في نهاية المطاف، تُذكّرنا هذه الحادثة بأن شبكات البلوك تشين الراسخة قد تنطوي هي الأخرى على ثغرات مستمرة منذ زمن طويل. وعلى الرغم من إصلاح الخلل قبل رصد أي استغلال معروف له، ستظل عمليات التدقيق الأمني المستمرة، والمراقبة الشفافة للمعروض، وإجراءات الحوكمة الواضحة لحالات الطوارئ عناصر أساسية للحفاظ على الثقة في سجل XRP. #xrp $XRP
