В XRP Ledger только что установили экстренный патч, устраняющий старую уязвимость, которая скрывалась десять лет: платёж мог создавать XRP, пригодные для трат, буквально из ничего — даже если отправитель ничего не заплатил. Исследователь продемонстрировал, что речь могла идти о десятках миллиардов долларов. Механизм несложный: логика проверки не контролировала баланс отправителя. Получалось, что сам реестр выписывал себе необеспеченный чек, который пролежал в блокчейне десять лет, прежде чем его обнаружили.

Я уже некоторое время слежу за этой историей, и по-настоящему мороз по коже у меня вызывает не сам XRP, а все кроссчейн-мосты и кастодианы: они проверяют именно то, «поступили ли деньги». Если исходный блокчейн может создавать их из ничего, то каждый перенесённый через мост токен, представляющий эти активы, — фальшивка. Когда кастодиан сверяет счета и видит, что баланс вырос, это ещё не значит, что кто-то действительно перевёл деньги.

То, что уязвимостью не воспользовались за десять лет, — это везение или просто никто не изучал код как следует? В любом случае я не готов поручиться за чужой аудиторский отчёт. $XRP