#XRPLedgerPatchesXRPCreationBug
Nguồn cung cố định chẳng có ý nghĩa gì nếu đoạn mã thực thi điều đó có thể tính toán sai.
XRP Ledger vừa tiết lộ một lỗ hổng tồn tại suốt một thập kỷ, có thể cho phép kẻ tấn công tạo ra XRP có thể sử dụng được từ hư không.
Đây là điều tôi nghĩ đáng được chú ý hơn.
Lỗ hổng liên quan đến lỗi tràn số nguyên trong hệ thống xử lý thanh toán. Bằng cách tạo ra hàng trăm lệnh chào giao dịch có mức giá cố tình sai lệch rồi khớp tất cả trong một khoản thanh toán, kẻ tấn công có thể khiến hệ thống ghi có cho người bán lượng XRP lớn hơn nhiều so với số tiền người mua thực sự thanh toán.
Ngay cả cơ chế kiểm tra bảo vệ nguồn cung tích hợp trong sổ cái cũng có thể không phát hiện ra sai lệch này, vì nó dựa trên phép tính dễ gặp chính lỗi tràn số tương tự.
Lỗ hổng đã được khắc phục trong xrpld 3.4.1, phát hành ngày 25 tháng 9. Các nhà phát triển cho biết họ không tìm thấy bằng chứng cho thấy lỗ hổng bị khai thác trên các mạng công khai. Vì vậy, hãy nói cho chính xác: đây là một lỗ hổng tiềm tàng nghiêm trọng, chứ không phải bằng chứng cho thấy hàng tỷ XRP thực sự đã bị đánh cắp hoặc được tạo ra trên mạng đang hoạt động.
Điều tôi rút ra lớn hơn là gì? Bảo mật blockchain không chỉ phụ thuộc vào tính phi tập trung, mật mã học hay các giao dịch minh bạch. Nó còn phụ thuộc vào độ chính xác của phần mềm xử lý những giao dịch đó.
Và đây là một bài học đáng suy ngẫm: một hệ thống có thể có nhiều lớp kiểm tra an toàn nhưng vẫn thất bại nếu các lớp kiểm tra đó cùng mắc một điểm yếu nền tảng.
Nghiên cứu bảo mật có sự hỗ trợ của AI có thể giúp phát hiện những lỗ hổng này, nhưng tìm ra lỗ hổng mới chỉ là một nửa cuộc chiến. Việc xác minh độc lập, kiểm thử nghiêm ngặt, vá lỗi nhanh chóng và công bố có trách nhiệm vẫn rất quan trọng.
Câu hỏi thực sự không phải là liệu một mạng lưới đã từng có lỗi hay chưa. Mà là liệu quy trình bảo mật của mạng lưới đó có thể phát hiện, khoanh vùng và khắc phục lỗi trước khi kẻ tấn công khai thác nó hay không.
Sự cố này có làm thay đổi cách bạn đánh giá tính bảo mật của XRP Ledger không, hay việc vá lỗi thành công lại củng cố niềm tin của bạn?
#XRP
Nguồn cung cố định chẳng có ý nghĩa gì nếu đoạn mã thực thi điều đó có thể tính toán sai.
XRP Ledger vừa tiết lộ một lỗ hổng tồn tại suốt một thập kỷ, có thể cho phép kẻ tấn công tạo ra XRP có thể sử dụng được từ hư không.
Đây là điều tôi nghĩ đáng được chú ý hơn.
Lỗ hổng liên quan đến lỗi tràn số nguyên trong hệ thống xử lý thanh toán. Bằng cách tạo ra hàng trăm lệnh chào giao dịch có mức giá cố tình sai lệch rồi khớp tất cả trong một khoản thanh toán, kẻ tấn công có thể khiến hệ thống ghi có cho người bán lượng XRP lớn hơn nhiều so với số tiền người mua thực sự thanh toán.
Ngay cả cơ chế kiểm tra bảo vệ nguồn cung tích hợp trong sổ cái cũng có thể không phát hiện ra sai lệch này, vì nó dựa trên phép tính dễ gặp chính lỗi tràn số tương tự.
Lỗ hổng đã được khắc phục trong xrpld 3.4.1, phát hành ngày 25 tháng 9. Các nhà phát triển cho biết họ không tìm thấy bằng chứng cho thấy lỗ hổng bị khai thác trên các mạng công khai. Vì vậy, hãy nói cho chính xác: đây là một lỗ hổng tiềm tàng nghiêm trọng, chứ không phải bằng chứng cho thấy hàng tỷ XRP thực sự đã bị đánh cắp hoặc được tạo ra trên mạng đang hoạt động.
Điều tôi rút ra lớn hơn là gì? Bảo mật blockchain không chỉ phụ thuộc vào tính phi tập trung, mật mã học hay các giao dịch minh bạch. Nó còn phụ thuộc vào độ chính xác của phần mềm xử lý những giao dịch đó.
Và đây là một bài học đáng suy ngẫm: một hệ thống có thể có nhiều lớp kiểm tra an toàn nhưng vẫn thất bại nếu các lớp kiểm tra đó cùng mắc một điểm yếu nền tảng.
Nghiên cứu bảo mật có sự hỗ trợ của AI có thể giúp phát hiện những lỗ hổng này, nhưng tìm ra lỗ hổng mới chỉ là một nửa cuộc chiến. Việc xác minh độc lập, kiểm thử nghiêm ngặt, vá lỗi nhanh chóng và công bố có trách nhiệm vẫn rất quan trọng.
Câu hỏi thực sự không phải là liệu một mạng lưới đã từng có lỗi hay chưa. Mà là liệu quy trình bảo mật của mạng lưới đó có thể phát hiện, khoanh vùng và khắc phục lỗi trước khi kẻ tấn công khai thác nó hay không.
Sự cố này có làm thay đổi cách bạn đánh giá tính bảo mật của XRP Ledger không, hay việc vá lỗi thành công lại củng cố niềm tin của bạn?
#XRP