«Десятилетняя уязвимость» XRP заполонила ленты: патч уже выпущен, но важно учитывать три разных момента
Фраза «можно создать XRP из ничего» звучит так, будто авария происходит прямо сейчас. Давайте сначала сверим часы: 9 октября публично раскрыли информацию об уязвимости; исправление платёжного движка было выпущено ранее вместе с xrpld 3.4.1. 10 октября на GitHub также опубликовали исходный код этой версии и инструкции по обновлению. Раскрытие уязвимости, исправление программного обеспечения и активация правил в основной сети — это разные события, и каждое отвечает на свой вопрос.
Во-первых, уязвимость платёжного движка затрагивала версии 3.4.0 и старше. 22 сентября исследователь сообщил о ней через программу вознаграждения за обнаружение уязвимостей. После воспроизведения проблемы команда повысила её степень серьёзности, а 25 сентября выпустила исправление. Согласно предположению в официальном расследовании, проблема могла присутствовать в коде ещё с 2015 года. В отчёте сказано, что свидетельств использования уязвимости в публичной сети не обнаружено. Это вывод расследования: его нельзя трактовать как доказательство отсутствия проблем во всех событиях за всю историю сети и тем более утверждать, что уже была совершена атака с несанкционированной эмиссией.
Во-вторых, в том же отчёте упоминается проблема с проверкой внутренних транзакций Batch. На момент обнаружения это правило ещё не было активировано в основной сети. Исправление сначала вошло в программное обеспечение, а fixBatchV1_2 был активирован в основной сети только 9 октября; исправление платёжного движка вступило в силу сразу после обновления узлов. Если объединить эти два пути исправления и сказать, что «все уязвимости закрыли только 9 октября», это исказит временное окно риска.
В-третьих, владельцам XRP и операторам узлов нужно делать разные выводы. Согласно текущим требованиям на GitHub, серверы необходимо обновить до версии 3.4.1: старые версии блокируются новым изменением протокола и больше не могут нормально синхронизироваться. Это требование касается серверного ПО и не означает, что владельцам XRP нужно переводить активы на незнакомый сайт, чтобы «починить кошелёк». Если под предлогом безопасности вас просят сообщить мнемоническую фразу или перейти по ссылке и предоставить разрешение, сначала проверьте, действительно ли она ведёт на официальный ресурс.
Этот случай напомнил мне, что нельзя строить защиту, снова и снова полагаясь на одно и то же предположение: если в расчётах платежа есть ошибка, то и на этапе проверки она может остаться незамеченной, если там используется такое же арифметическое допущение. Поэтому стоит следить и за патчем, и за последующими процедурами проверки. Этот вывод касается механизма раскрытия уязвимости и не означает, что уязвимы другие протоколы.
Я продолжу следить за тем, появятся ли дополнительные результаты официального расследования, как продвигается обновление старых узлов и какие последующие проверки безопасности будут проведены. Эти факторы могут изменить оценку технического риска; чтобы судить о дальнейшем росте цены, нужны данные об объёмах торгов и спросе. Исправление уязвимости само по себе не является сигналом к покупке.
Источники: официальное раскрытие информации об уязвимости XRPL от 9 октября, примечания к выпуску XRPLF/rippled 3.4.1. Проверено 10 октября в 22:36 по пекинскому времени.
Фраза «можно создать XRP из ничего» звучит так, будто авария происходит прямо сейчас. Давайте сначала сверим часы: 9 октября публично раскрыли информацию об уязвимости; исправление платёжного движка было выпущено ранее вместе с xrpld 3.4.1. 10 октября на GitHub также опубликовали исходный код этой версии и инструкции по обновлению. Раскрытие уязвимости, исправление программного обеспечения и активация правил в основной сети — это разные события, и каждое отвечает на свой вопрос.
Во-первых, уязвимость платёжного движка затрагивала версии 3.4.0 и старше. 22 сентября исследователь сообщил о ней через программу вознаграждения за обнаружение уязвимостей. После воспроизведения проблемы команда повысила её степень серьёзности, а 25 сентября выпустила исправление. Согласно предположению в официальном расследовании, проблема могла присутствовать в коде ещё с 2015 года. В отчёте сказано, что свидетельств использования уязвимости в публичной сети не обнаружено. Это вывод расследования: его нельзя трактовать как доказательство отсутствия проблем во всех событиях за всю историю сети и тем более утверждать, что уже была совершена атака с несанкционированной эмиссией.
Во-вторых, в том же отчёте упоминается проблема с проверкой внутренних транзакций Batch. На момент обнаружения это правило ещё не было активировано в основной сети. Исправление сначала вошло в программное обеспечение, а fixBatchV1_2 был активирован в основной сети только 9 октября; исправление платёжного движка вступило в силу сразу после обновления узлов. Если объединить эти два пути исправления и сказать, что «все уязвимости закрыли только 9 октября», это исказит временное окно риска.
В-третьих, владельцам XRP и операторам узлов нужно делать разные выводы. Согласно текущим требованиям на GitHub, серверы необходимо обновить до версии 3.4.1: старые версии блокируются новым изменением протокола и больше не могут нормально синхронизироваться. Это требование касается серверного ПО и не означает, что владельцам XRP нужно переводить активы на незнакомый сайт, чтобы «починить кошелёк». Если под предлогом безопасности вас просят сообщить мнемоническую фразу или перейти по ссылке и предоставить разрешение, сначала проверьте, действительно ли она ведёт на официальный ресурс.
Этот случай напомнил мне, что нельзя строить защиту, снова и снова полагаясь на одно и то же предположение: если в расчётах платежа есть ошибка, то и на этапе проверки она может остаться незамеченной, если там используется такое же арифметическое допущение. Поэтому стоит следить и за патчем, и за последующими процедурами проверки. Этот вывод касается механизма раскрытия уязвимости и не означает, что уязвимы другие протоколы.
Я продолжу следить за тем, появятся ли дополнительные результаты официального расследования, как продвигается обновление старых узлов и какие последующие проверки безопасности будут проведены. Эти факторы могут изменить оценку технического риска; чтобы судить о дальнейшем росте цены, нужны данные об объёмах торгов и спросе. Исправление уязвимости само по себе не является сигналом к покупке.
Источники: официальное раскрытие информации об уязвимости XRPL от 9 октября, примечания к выпуску XRPLF/rippled 3.4.1. Проверено 10 октября в 22:36 по пекинскому времени.