Почти десять лет в коде XRP Ledger находилась ошибка, которая позволяла любому создать одной транзакцией 18 трлн XRP, в 184 раза больше всего сапплая сети. Нашел экслойт не аудитор, а ИИ-агент Veria Labs.
Кофаундер Veria Lans считает, что для XRP такой баг кажется опаснее обычного взлома, потому что вся модель токена держится на ограниченном сапплае. Сеть запустили ещё в 2012 году с сапплаем в 100 млрд монет. Майнинга и стейкинга здесь нет, и каждая транзакция сжигает немного XRP в виде комиссии, так что монет со временем становится только меньше.
🖨 Атакующий мог напечатать токены из воздуха и тратить их как настоящие. Поэтому в Veria оценивают риск во всю капу XRP, $94 млрд.
Ошибка пряталась в платежном движке. В XRPL есть встроенная биржа, и один платеж может закрыть сразу много ордеров из ее книги заявок. Складывая суммы по всем этим ордерам, движок в определенных условиях получал число больше того, которое умеет корректно хранить. Расчет ломался, и сеть начисляла XRP, которых не существовало.
Код написан в 2015 и 2017 годах, и с тех пор его проверяли много раз: только с 2024 года XRPL прошла больше десятка аудитов и открытых проверок с призами для багхантеров, а по баг-баунти выплатила больше $1 млн.
😕 Кофаундер предполагает, что ошибку пропускали, потому что она собрана из двух багов, каждый из которых по отдельности выглядел мелким.
Как раз такие связки и ищет агент Veria. Его направили на rippled, софт, на котором работает сеть, и он сам нашел обе ошибки, понял, как их соединить, и собрал рабочий эксплойт в локальной сети. Сигнал пришел в понедельник почти в полночь, и Liao до четырех утра перечитывал код эксплойта, прежде чем разбудить инженера.
К утру оба убедились, что баг настоящий. Уже после того, как Ripple получила репорт, команда проверила тот же участок кода моделями Astra и Mythos, но ни одна из них уязвимость не нашла.
🧐 RippleX подтвердила баг в день репорта, 22 сентября, а 25 сентября выпустила xrpld 3.4.1, на который сразу перешли больше 80% валидаторов. Ради скорости впервые за десять с лишним лет обошли обычный порядок обновлений. Как правило, любое изменение в обработке транзакций валидаторы сначала около двух недель одобряют голосованием, и только потом оно вступает в силу.
Код был открытым, и за это время атакующие успели бы разобрать обновление и найти дыру, так что фикс заработал на каждом сервере сразу после установки. Следов того, что баг кто-то использовал, не нашли, а Veria получила максимальную награду программы, $250 тыс., за счет чего заработала в 376 тыс. раз меньше на баг баунти, чем могла бы.
Проблема заключается в том, что такие же агенты доступны и атакующим. Liao вспоминает летний взлом кошельков Coldcard, где через баг пятилетней давности вывели $89 млн, и считает, что без ИИ там не обошлось.
📕 Если хотите заработать на шорте токена, у которого команда 10 лет не фиксит баги, то Variational готов принять каждого. Заниматься этим мы предлагаем с использованием нашего кода
OMNIGAGARIN, который дает ряд эксклюзивных преимуществ:1. Постоянный буст +12% к фарму поинтов для ваших аккаунтов.
2. Статус Bronze на 90 дней (дает доступ к расширенным лимитам и возврату убытков).
Также напоминаем, что если вы хотите продать свои поинты, то можете воспользоваться cp0x OTC. Подробности были в прошлом посте.
Подписывайтесь на канал, ставьте лайк, заходите в чат👇
🧑🚀 Канал | Чат | Обменник