Lỗ hổng ẩn trong mã XRP suốt hơn 10 năm: về lý thuyết, chỉ một giao dịch có thể tạo ra khoảng 18 nghìn tỷ XRP từ hư không 😳
Tổng cung XRP tối đa là 100 tỷ. Theo ước tính của người phát hiện, lỗ hổng này có thể tạo ra lượng XRP gấp khoảng 184 lần tổng cung chỉ trong một lần.
Tin tốt trước nhé: XRP Ledger Foundation xác nhận không có XRP mới nào xuất hiện trên chuỗi. Lỗ hổng đã được khắc phục trong phiên bản 3.4.1; hiện sổ cái có khoảng 99,986 tỷ XRP đang lưu hành.
📌 Lỗ hổng hoạt động ra sao?
1️⃣ Vấn đề nằm ở bộ máy thanh toán: khi một khoản thanh toán khớp cùng lúc với nhiều lệnh đang chờ, phép tính tổng không kiểm tra tràn số. Khi con số vượt quá một ngưỡng nhất định, nó sẽ quay vòng thành một giá trị rất nhỏ
2️⃣ Cách tấn công: tạo vài trăm tài khoản, mỗi tài khoản đặt một ít token để đổi lấy lượng XRP lớn, rồi dùng một giao dịch để khớp tất cả. Bên bán nhận đủ XRP, còn bên mua chỉ trả vài trăm drops cộng phí giao dịch
3️⃣ Khâu kiểm tra XRP mới được tạo ra cũng có lỗi tràn số tương tự, nên đã không chặn được
4️⃣ Đoạn mã này đã tồn tại từ năm 2015. Đội ngũ phát triển cho biết không tìm thấy dấu hiệu nào cho thấy lỗ hổng từng bị khai thác trên các mạng công khai
🤖 Ai đã phát hiện?
AI agent của công ty an ninh AI Veria Labs đã báo cáo lỗ hổng vào ngày 22 tháng 9, đồng thời viết được mã khai thác hoạt động thành công. RippleX phát hành bản vá ba ngày sau đó, còn Ripple trả mức tiền thưởng tối đa 250.000 USD. Theo Veria, đây là khoản tiền thưởng cao nhất từng được trao cho một lỗ hổng do AI tự tìm ra.
🔒 Cách khắc phục cũng khá hiếm thấy
Lần này, họ không theo quy trình thường lệ là phát hành công khai trước rồi chờ hai tuần bỏ phiếu. Bản vá có hiệu lực trực tiếp khi các nút nâng cấp. Lý do chính thức: công khai bản vá cũng đồng nghĩa với việc tiết lộ manh mối cho kẻ tấn công; giờ đây AI có thể đẩy nhanh việc phân tích lỗ hổng, nên chờ hai tuần là quá rủi ro.
Ba nhận xét của tôi:
• Hai lỗi riêng lẻ có thể chỉ được xem là nguy cơ thấp, nhưng kết hợp với nhau lại trở thành nghiêm trọng. Một blockchain lâu đời không có nghĩa là mã nguồn không có vấn đề
• AI ngày càng tìm ra lỗ hổng nhanh hơn, và cả hai phía tấn công lẫn phòng thủ đều đang sử dụng AI. Việc sửa trước rồi mới công khai có thể sẽ phổ biến hơn; chắc chắn sẽ có tranh luận về cách cân bằng giữa tính minh bạch và bảo mật
• Với những ai đang nắm giữ XRP: XRP để trên sàn giao dịch hoặc trong ví thông thường không cần thao tác gì, tổng cung cũng không thay đổi. Nếu tự chạy nút, hãy kiểm tra xem đã nâng cấp chưa
Bạn nghĩ dự án âm thầm sửa lỗi trước rồi mới công khai là có trách nhiệm hay thiếu minh bạch?
Nội dung trên chỉ thể hiện quan điểm cá nhân, không cấu thành lời khuyên đầu tư. DYOR.
#XRP #加密安全 #AI #Ripple
Tổng cung XRP tối đa là 100 tỷ. Theo ước tính của người phát hiện, lỗ hổng này có thể tạo ra lượng XRP gấp khoảng 184 lần tổng cung chỉ trong một lần.
Tin tốt trước nhé: XRP Ledger Foundation xác nhận không có XRP mới nào xuất hiện trên chuỗi. Lỗ hổng đã được khắc phục trong phiên bản 3.4.1; hiện sổ cái có khoảng 99,986 tỷ XRP đang lưu hành.
📌 Lỗ hổng hoạt động ra sao?
1️⃣ Vấn đề nằm ở bộ máy thanh toán: khi một khoản thanh toán khớp cùng lúc với nhiều lệnh đang chờ, phép tính tổng không kiểm tra tràn số. Khi con số vượt quá một ngưỡng nhất định, nó sẽ quay vòng thành một giá trị rất nhỏ
2️⃣ Cách tấn công: tạo vài trăm tài khoản, mỗi tài khoản đặt một ít token để đổi lấy lượng XRP lớn, rồi dùng một giao dịch để khớp tất cả. Bên bán nhận đủ XRP, còn bên mua chỉ trả vài trăm drops cộng phí giao dịch
3️⃣ Khâu kiểm tra XRP mới được tạo ra cũng có lỗi tràn số tương tự, nên đã không chặn được
4️⃣ Đoạn mã này đã tồn tại từ năm 2015. Đội ngũ phát triển cho biết không tìm thấy dấu hiệu nào cho thấy lỗ hổng từng bị khai thác trên các mạng công khai
🤖 Ai đã phát hiện?
AI agent của công ty an ninh AI Veria Labs đã báo cáo lỗ hổng vào ngày 22 tháng 9, đồng thời viết được mã khai thác hoạt động thành công. RippleX phát hành bản vá ba ngày sau đó, còn Ripple trả mức tiền thưởng tối đa 250.000 USD. Theo Veria, đây là khoản tiền thưởng cao nhất từng được trao cho một lỗ hổng do AI tự tìm ra.
🔒 Cách khắc phục cũng khá hiếm thấy
Lần này, họ không theo quy trình thường lệ là phát hành công khai trước rồi chờ hai tuần bỏ phiếu. Bản vá có hiệu lực trực tiếp khi các nút nâng cấp. Lý do chính thức: công khai bản vá cũng đồng nghĩa với việc tiết lộ manh mối cho kẻ tấn công; giờ đây AI có thể đẩy nhanh việc phân tích lỗ hổng, nên chờ hai tuần là quá rủi ro.
Ba nhận xét của tôi:
• Hai lỗi riêng lẻ có thể chỉ được xem là nguy cơ thấp, nhưng kết hợp với nhau lại trở thành nghiêm trọng. Một blockchain lâu đời không có nghĩa là mã nguồn không có vấn đề
• AI ngày càng tìm ra lỗ hổng nhanh hơn, và cả hai phía tấn công lẫn phòng thủ đều đang sử dụng AI. Việc sửa trước rồi mới công khai có thể sẽ phổ biến hơn; chắc chắn sẽ có tranh luận về cách cân bằng giữa tính minh bạch và bảo mật
• Với những ai đang nắm giữ XRP: XRP để trên sàn giao dịch hoặc trong ví thông thường không cần thao tác gì, tổng cung cũng không thay đổi. Nếu tự chạy nút, hãy kiểm tra xem đã nâng cấp chưa
Bạn nghĩ dự án âm thầm sửa lỗi trước rồi mới công khai là có trách nhiệm hay thiếu minh bạch?
Nội dung trên chỉ thể hiện quan điểm cá nhân, không cấu thành lời khuyên đầu tư. DYOR.
#XRP #加密安全 #AI #Ripple