XRP Ledger naprawia poważną lukę w ostatniej chwili

Krytyczna luka w zabezpieczeniach Księga XRP Proponowana poprawka Batch mogła umożliwić atakującym wykonywanie nieautoryzowanych transakcji z kont ofiar, bez konieczności używania kluczy prywatnych. Błąd został wykryty 19 lutego, zanim poprawka została wdrożona w sieci głównej, co oznacza, że ​​żadne środki nie zostały naruszone. Prezes Cantiny, Hari Mulackal, nazwał to potencjalnym kandydatem do tytułu „największego ataku hakerskiego pod względem wartości w dolarach” w historii blockchaina, z kapitalizacją rynkową XRP wynoszącą około 80 miliardów dolarów.

Co dokładnie było tym błędem?

Luka znajdowała się w procesie walidacji podpisów dla transakcji wsadowych w Rippled w wersji 3.1.0. Błąd logiczny w pętli walidacji stworzył sytuację wczesnego wyjścia, którą atakujący mogli wykorzystać.

Oto jak to działało w praktyce:

• Atakujący może stworzyć transakcję wsadową zawierającą operacje wewnętrzne (płatności, modyfikacje konta) powiązane z kontem ofiary
• Transakcja będzie wykorzystywać sfałszowany wpis sygnatariusza
• Błędna walidacja sprawdzała nieistniejące konto, uruchamiała opcję wcześniejszego wyjścia i pomijała właściwą weryfikację
• Nieautoryzowane operacje byłyby wówczas przeprowadzane tak, jakby były legalne

Jeśli atak zostanie wykorzystany po aktywacji, atakujący mogą opróżnić konta do salda rezerwowego, zmienić stany rejestru za pomocą transakcji takich jak AccountSet lub TrustSet, a potencjalnie nawet całkowicie usunąć konta.

Jak to zostało złapane?

Inżynier bezpieczeństwa Pranamya Keshkamat z Cantina, firma zajmująca się bezpieczeństwem w technologii blockchain, odkryła lukę, korzystając z narzędzia do audytu opartego na sztucznej inteligencji o nazwie Apex. Odkrycia dokonano podczas statycznej analizy kodu Rippled.

Apex, opisany jako autonomiczny audytor bezpieczeństwa AI, zasygnalizował błąd logiczny. Keshkamat i zespół złożyli następnie raport z odpowiedzialnym ujawnieniem. Zespoły inżynierów Ripple szybko go zweryfikowały, wykorzystując proof-of-concept i testy jednostkowe.

To konkretny przypadek, w którym zabezpieczenia wspomagane sztuczną inteligencją przynoszą rezultaty, a nie tylko je obiecują.

Jak szybko nadeszła odpowiedź?

Od momentu odkrycia do publicznego ujawnienia cały proces trwał tydzień.

19 lutego, tego samego dnia, kiedy Cantina zgłosiła błąd, walidatorom UNL zalecono głosowanie „Nie” w sprawie poprawki Batch. Kilku z nich natychmiast zgłosiło weta.

Odkryj obiecujące projekty...

Obiecujące projekty...

(Reklama)

Artykuł ciąg dalszy...

Do 23 lutego Ripple wydało poprawkę awaryjną do Rippled w wersji 3.1.1. Aktualizacja ta oznacza poprawkę Batch jako nieobsługiwaną i wprowadza tymczasową poprawkę o nazwie fixBatchInnerSigs, blokującą aktywację.

26 lutego XRPL Labs opublikowany pełny raport ujawniający luki w zabezpieczeniach zostanie opublikowany.

Co dzieje się dalej?

Poprawka Batch nie umarła. Zespół programistów XRPL pracuje nad jej następcą o nazwie BatchV1_1. Zaktualizowana wersja usuwa warunki wczesnego wyjścia, dodaje zabezpieczenia autoryzacji i zaostrza mechanizmy kontroli podpisów. Nie ma jeszcze ustalonej daty premiery, a kod jest wciąż poddawany przeglądowi.

Walidatorzy powinni natychmiast zaktualizować Rippled do wersji 3.1.1. Zwykli użytkownicy nie muszą podejmować żadnych działań, ponieważ luka nigdy nie została wdrożona, ale warto śledzić oficjalne kanały XRPL pod kątem aktualizacji BatchV1_1.

Dlaczego to ma znaczenie?

To jedna z tych sytuacji, które niemalże doprowadziły do ​​incydentów, na które cała branża powinna zwrócić uwagę. Błąd istniał w kodzie, nad którym aktywnie głosowano w sprawie aktywacji sieci głównej. Gdyby termin był przesunięty choćby o kilka dni, wynik mógłby wyglądać zupełnie inaczej.

Fakt, że narzędzie AI odegrało kluczową rolę w jego wykryciu, jest znaczący. Audyty przeprowadzane przez strony trzecie zawsze były ważne w branży kryptowalut, ale audyty wspomagane przez AI dowodzą, że potrafią wychwycić rzeczy, które recenzenci mogliby przeoczyć podczas rutynowego przeglądu kodu.

Laboratoria XRPL przyznały, że incydent ten będzie impulsem do dalszych udoskonaleń w procesach przeglądu kodu. Dla ekosystemu, który przetwarza dziesiątki miliardów, nie jest to opcjonalne. To kwestia przetrwania.

Źródła:

• Cointelegraph Raport o odkryciu dokonanym przez inżyniera ds. bezpieczeństwa i narzędzia AI firmy Cantina, Apex, zawierający cytaty dyrektora generalnego Hari Mulackala
• Blog XRPL Labs Oficjalny raport ujawniający luki w zabezpieczeniach, zawierający szczegóły techniczne, harmonogram działań naprawczych i zalecenia walidatora