Сегодня вечером увидел сообщение $XRP — и по спине пробежал холодок 😅
Баг, который скрывался почти 11 лет, чуть не позволил пробить лимит в 100 миллиардов монет
Если по-простому: при расчёте платежей движок сталкивался с переполнением целого числа.
В специально сконструированной транзакции покупатель платил всего несколько сотен дропов,
а продавец получал полную сумму.
Разница между ними превращалась в XRP из ниоткуда, которые можно было тратить как обычно.
Масштаб, показанный исследователем, был ещё впечатляющее.
Одна транзакция могла создать около 18 триллионов монет — более чем в 180 раз больше общего лимита.
Не сработала даже проверка, запрещающая создание монет из ничего: она использовала тот же алгоритм.
К счастью, 22 сентября кто-то сообщил об этом через программу вознаграждений.
25 сентября вышло экстренное исправление в xrpld 3.4.1, и в тот же день обновилось более 80% валидирующих узлов.
Публично об уязвимости сообщили только 9 октября. По словам команды, признаков её эксплуатации в публичной сети не обнаружили.
Человек, сообщивший о баге, получил максимальное вознаграждение — 250 тысяч долларов.
Мой вывод: в старых блокчейнах больше всего пугают не сбои новых функций,
а вот такой старый код, написанный в 2015 году и годами остававшийся без внимания.
Фиксированное предложение звучит надёжно, но достаточно пропустить в базовом коде одну проверку на переполнение — и лимит можно нарушить.
Вы после таких случаев с большей осторожностью относитесь к безопасности старых публичных блокчейнов?
Или считаете, что раз уязвимость не успели использовать и вовремя исправили, значит, всё обошлось?
$XRP #XRP #БезопасностьБлокчейна
Не является инвестиционной рекомендацией. DYOR — проводите собственное исследование. Торговля сопряжена с риском.
Баг, который скрывался почти 11 лет, чуть не позволил пробить лимит в 100 миллиардов монет
Если по-простому: при расчёте платежей движок сталкивался с переполнением целого числа.
В специально сконструированной транзакции покупатель платил всего несколько сотен дропов,
а продавец получал полную сумму.
Разница между ними превращалась в XRP из ниоткуда, которые можно было тратить как обычно.
Масштаб, показанный исследователем, был ещё впечатляющее.
Одна транзакция могла создать около 18 триллионов монет — более чем в 180 раз больше общего лимита.
Не сработала даже проверка, запрещающая создание монет из ничего: она использовала тот же алгоритм.
К счастью, 22 сентября кто-то сообщил об этом через программу вознаграждений.
25 сентября вышло экстренное исправление в xrpld 3.4.1, и в тот же день обновилось более 80% валидирующих узлов.
Публично об уязвимости сообщили только 9 октября. По словам команды, признаков её эксплуатации в публичной сети не обнаружили.
Человек, сообщивший о баге, получил максимальное вознаграждение — 250 тысяч долларов.
Мой вывод: в старых блокчейнах больше всего пугают не сбои новых функций,
а вот такой старый код, написанный в 2015 году и годами остававшийся без внимания.
Фиксированное предложение звучит надёжно, но достаточно пропустить в базовом коде одну проверку на переполнение — и лимит можно нарушить.
Вы после таких случаев с большей осторожностью относитесь к безопасности старых публичных блокчейнов?
Или считаете, что раз уязвимость не успели использовать и вовремя исправили, значит, всё обошлось?
$XRP #XRP #БезопасностьБлокчейна
Не является инвестиционной рекомендацией. DYOR — проводите собственное исследование. Торговля сопряжена с риском.