В XRP Ledger (XRPL) устранена критическая уязвимость, которая, возможно, существовала примерно с 2015 года. Ошибку обнаружили исследователи в области безопасности Кейден Ляо и Veria Labs. Теоретически она позволяла злоумышленнику с помощью специально сформированной транзакции создать около 18,45 триллиона XRP, пригодных для расходования, что намного превышает официальный предел эмиссии сети — 100 миллиардов токенов. Однако расследователи не обнаружили доказательств того, что уязвимость когда-либо использовалась.
Проблема заключалась в переполнении целого числа в механизме обработки платежей XRPL. Из-за этого сложные транзакции с несколькими предложениями в книге ордеров могли рассчитывать платежи неверно. В ходе контролируемого теста было показано, что ошибка позволяла полностью компенсировать продавцам стоимость сделок, взимая с покупателей почти ничего. Ещё более тревожно то, что механизм защиты эмиссии опирался на те же ошибочные расчёты, из-за чего создание XRP без разрешения могло остаться незамеченным.
Получив сообщение об уязвимости 22 сентября, инженеры RippleX воспроизвели проблему, классифицировали её как критическую и 25 сентября выпустили экстренное исправление в версии xrpld 3.4.1. Сообщается, что в тот же день обновление установили более 80% валидаторов. Чтобы свести к минимуму риск эксплуатации уязвимости, разработчики обошли стандартную процедуру внесения поправок в XRPL, которая обычно требует устойчивой поддержки валидаторов в течение примерно двух недель.
И RippleX, и фонд XRP Ledger подтвердили, что несанкционированного выпуска XRP выявлено не было и что установленный предел эмиссии в 100 миллиардов токенов остался неизменным. Тем не менее инцидент вызвал вопросы о балансе между децентрализованным управлением и необходимостью оперативно реагировать на угрозы безопасности.
В ответ Ripple планирует усилить программу вознаграждений за обнаружение ошибок, расширить анализ кода с помощью ИИ и внедрить формальную верификацию критически важных компонентов реестра. Эти меры призваны помочь выявлять подобные уязвимости на более раннем этапе и укрепить уверенность в безопасности XRPL.
В конечном счёте этот инцидент напоминает о том, что даже давно работающие блокчейн-сети могут содержать уязвимости, остававшиеся незамеченными годами. Хотя уязвимость устранили до того, как стало известно о каких-либо попытках её эксплуатации, регулярные аудиты безопасности, прозрачный мониторинг эмиссии и чёткие процедуры экстренного управления по-прежнему будут необходимы для поддержания доверия к XRP Ledger. #xrp $XRP
