Самая жуткая часть этого эксплойта XRP-моста — не те $200K, которые ушли.
Ужаснее то, что мост поверил: депозиты были реальными.
Злоумышленник воспользовался логикой обнаружения депозитов, связывающей XRP Ledger с цепочкой транзакций, и добился чеканки перемещённых XRP в счёт транзакций, которые на самом деле никогда не доставляли базовый XRP.
Затем эта фальшивая ликвидность была возвращена обратно на настоящий XRP.
Около 200 000 XRP было выведено через 94 платежа.
И вот где становится не по себе:
У каждого платежа были действительные подписи от 17 из 28 релейеров.
Собственные записи моста говорили, что всё легитимно.
Но депозиты так и не произошли.
Это не сбой самого XRP Ledger. Базовый реестр не был скомпрометирован. Слабое место было в предположениях моста о том, что именно происходило в on-chain.
Эта разница важна.
Транзакция может выглядеть действительной.
Набор подписей может выглядеть действительным.
Запись моста может выглядеть действительной.
И при этом актив может оставаться полностью необеспеченным.
txEcosystem признала, что размещённый ею на своей цепочке bridged XRP больше не полностью обеспечен.
Вот главный урок здесь:
Безопасность — это не только проверка подписей. Это проверка реальности.
#XRP #CryptoSecurity
#CryptoNews
Ужаснее то, что мост поверил: депозиты были реальными.
Злоумышленник воспользовался логикой обнаружения депозитов, связывающей XRP Ledger с цепочкой транзакций, и добился чеканки перемещённых XRP в счёт транзакций, которые на самом деле никогда не доставляли базовый XRP.
Затем эта фальшивая ликвидность была возвращена обратно на настоящий XRP.
Около 200 000 XRP было выведено через 94 платежа.
И вот где становится не по себе:
У каждого платежа были действительные подписи от 17 из 28 релейеров.
Собственные записи моста говорили, что всё легитимно.
Но депозиты так и не произошли.
Это не сбой самого XRP Ledger. Базовый реестр не был скомпрометирован. Слабое место было в предположениях моста о том, что именно происходило в on-chain.
Эта разница важна.
Транзакция может выглядеть действительной.
Набор подписей может выглядеть действительным.
Запись моста может выглядеть действительной.
И при этом актив может оставаться полностью необеспеченным.
txEcosystem признала, что размещённый ею на своей цепочке bridged XRP больше не полностью обеспечен.
Вот главный урок здесь:
Безопасность — это не только проверка подписей. Это проверка реальности.
#XRP #CryptoSecurity
#CryptoNews