Una vulnerabilidad llevaba más de 10 años oculta en el código de XRP: una transacción podría, en teoría, crear de la nada unos 18 billones de XRP 😳
El suministro máximo de XRP es de 100.000 millones. Según los cálculos de quien descubrió la vulnerabilidad, esta podría crear de una sola vez unas 184 veces el suministro total.
Primero, la buena noticia: la Fundación XRP Ledger confirmó que no se crearon XRP adicionales en la cadena. La vulnerabilidad se corrigió en la versión 3.4.1 y actualmente hay unos 99.986 millones de XRP en circulación en el libro mayor.
📌 ¿En qué consistía la vulnerabilidad?
1️⃣ El problema estaba en el motor de pagos: cuando un pago ejecutaba muchas órdenes abiertas a la vez, la suma no comprobaba si había desbordamiento. Al superar cierto valor, el número volvía a convertirse en uno muy pequeño.
2️⃣ La idea del ataque: crear cientos de cuentas, poner en cada una una pequeña orden para intercambiar tokens por una gran cantidad de XRP y luego ejecutar todas las órdenes con un solo pago. Los vendedores recibían todos los XRP acordados, mientras que el comprador pagaba solo unos cientos de drops más la comisión.
3️⃣ La verificación que debía impedir la creación de XRP adicionales también tenía un desbordamiento similar, así que no bloqueó el ataque.
4️⃣ Este código estaba ahí desde 2015. El equipo de desarrollo afirma que no encontró indicios de que se hubiera explotado en ninguna red pública.
🤖 ¿Quién la descubrió?
Un agente de IA de Veria Labs, una empresa de seguridad de IA, informó del fallo el 22 de septiembre y también escribió código de ataque funcional. RippleX publicó una corrección tres días después y Ripple pagó la recompensa máxima por el fallo: 250.000 dólares. Según Veria, es la recompensa más alta jamás pagada por una vulnerabilidad encontrada exclusivamente por IA.
🔒 La forma de corregirla también fue poco habitual
Esta vez no siguieron el proceso habitual de publicar primero la actualización y esperar dos semanas para la votación. El parche entró en vigor directamente con la actualización de los nodos. La explicación oficial: publicar el parche sería como dar pistas a los atacantes; ahora que la IA puede acelerar el análisis de vulnerabilidades, esperar dos semanas supone demasiado riesgo.
Mis tres reflexiones:
• Dos errores que por separado podrían considerarse de bajo riesgo, al combinarse se volvieron críticos. Que una cadena lleve mucho tiempo funcionando no significa que su código no tenga fallos.
• La IA encuentra vulnerabilidades cada vez más rápido y ambos bandos la están usando. Es posible que en el futuro sea más habitual corregir primero y divulgar después. Sin duda habrá debate sobre cómo equilibrar la transparencia y la seguridad.
• Para quienes tienen XRP: no necesitan hacer nada si sus monedas están en un exchange o en una billetera normal; el suministro total tampoco ha cambiado. Si ejecutas tu propio nodo, confirma que ya lo actualizaste.
¿Crees que corregir el problema en secreto y hacerlo público después es responsable o poco transparente?
Lo anterior es solo mi opinión personal y no constituye asesoramiento de inversión. DYOR.
#XRP #加密安全 #AI #Ripple
El suministro máximo de XRP es de 100.000 millones. Según los cálculos de quien descubrió la vulnerabilidad, esta podría crear de una sola vez unas 184 veces el suministro total.
Primero, la buena noticia: la Fundación XRP Ledger confirmó que no se crearon XRP adicionales en la cadena. La vulnerabilidad se corrigió en la versión 3.4.1 y actualmente hay unos 99.986 millones de XRP en circulación en el libro mayor.
📌 ¿En qué consistía la vulnerabilidad?
1️⃣ El problema estaba en el motor de pagos: cuando un pago ejecutaba muchas órdenes abiertas a la vez, la suma no comprobaba si había desbordamiento. Al superar cierto valor, el número volvía a convertirse en uno muy pequeño.
2️⃣ La idea del ataque: crear cientos de cuentas, poner en cada una una pequeña orden para intercambiar tokens por una gran cantidad de XRP y luego ejecutar todas las órdenes con un solo pago. Los vendedores recibían todos los XRP acordados, mientras que el comprador pagaba solo unos cientos de drops más la comisión.
3️⃣ La verificación que debía impedir la creación de XRP adicionales también tenía un desbordamiento similar, así que no bloqueó el ataque.
4️⃣ Este código estaba ahí desde 2015. El equipo de desarrollo afirma que no encontró indicios de que se hubiera explotado en ninguna red pública.
🤖 ¿Quién la descubrió?
Un agente de IA de Veria Labs, una empresa de seguridad de IA, informó del fallo el 22 de septiembre y también escribió código de ataque funcional. RippleX publicó una corrección tres días después y Ripple pagó la recompensa máxima por el fallo: 250.000 dólares. Según Veria, es la recompensa más alta jamás pagada por una vulnerabilidad encontrada exclusivamente por IA.
🔒 La forma de corregirla también fue poco habitual
Esta vez no siguieron el proceso habitual de publicar primero la actualización y esperar dos semanas para la votación. El parche entró en vigor directamente con la actualización de los nodos. La explicación oficial: publicar el parche sería como dar pistas a los atacantes; ahora que la IA puede acelerar el análisis de vulnerabilidades, esperar dos semanas supone demasiado riesgo.
Mis tres reflexiones:
• Dos errores que por separado podrían considerarse de bajo riesgo, al combinarse se volvieron críticos. Que una cadena lleve mucho tiempo funcionando no significa que su código no tenga fallos.
• La IA encuentra vulnerabilidades cada vez más rápido y ambos bandos la están usando. Es posible que en el futuro sea más habitual corregir primero y divulgar después. Sin duda habrá debate sobre cómo equilibrar la transparencia y la seguridad.
• Para quienes tienen XRP: no necesitan hacer nada si sus monedas están en un exchange o en una billetera normal; el suministro total tampoco ha cambiado. Si ejecutas tu propio nodo, confirma que ya lo actualizaste.
¿Crees que corregir el problema en secreto y hacerlo público después es responsable o poco transparente?
Lo anterior es solo mi opinión personal y no constituye asesoramiento de inversión. DYOR.
#XRP #加密安全 #AI #Ripple