XRP Ledger bakım ekibi, Eylül ayında hata ödül programı üzerinden bildirilen kritik ödeme motoru taşma açığını açıkladı ve yama yaptı; bu açık saldırganın sahte XRP yaratmasına izin verebilirdi.
Açık 2015'ten beri fark edilmedi çünkü normal bir ödeme tetiklemiyor ve defterin "hiç XRP yaratılmaz" güvenlik kontrolü aynı hatalı aritmetiği kullanıyordu.
XRP Ledger geliştiricilerine göre açığın istismar edildiğine dair bir kanıt yok.
XRP Ledger'ın arkasındaki geliştiriciler, ele alınmadığı takdirde saldırganın havadan XRP yaratmasına izin verebilecek kritik bir güvenlik açığını açıkladı ve düzeltti; açık ağın kodunda yaklaşık on yıl boyunca hareketsiz kaldı.
Cuma günü yayımlanan açıklamada defterin bakım ekibi, bir araştırmacının açığı eylülde XRPL hata ödül programı aracılığıyla bildirdiğini söyledi. Sorun, ödemeleri işleyen yazılım parçası olan ödeme motorunda bir tamsayı taşmasıydı.
Tek bir ödeme emir defterinden yüzlerce özel hazırlanmış teklifi tükettiğinde, alıcının borçlu olduğu tutarın toplamı sistemin saklayabildiği maksimum değeri aştı ve "küçük bir sayıya döndü". Motor her satıcıyı tam olarak ödedi ancak alıcıdan neredeyse hiç ücret almadı; fark, var olmaması gereken yeni basılmış XRP'ye tekabül etti.
Daha da kötüsü, hiçbir işlemin XRP yaratmadığını doğrulamak için tasarlanan defterin yerleşik güvenlik kontrolü aynı hatalı aritmetiği kullandığı için aynı şekilde küçük bir sayıya döndü ve hiçbir şey yakalayamadı. Bakım ekibi, bir saldırganın tek bir işlemde tokenın toplam arzının çok ötesinde harcanabilir XRP yaratabileceğini, ardından onu taşıyabileceğini, takas edebileceğini veya borsalara gönderebileceğini söyledi.
RippleX mühendisleri, açığın mevcut ödeme motorunun 2015'te yazıldığı zamandan beri var olduğunu ve olağan bir ödemenin taşmayı tetiklemeye yaklaşmadığı için fark edilmediğini doğruladı.
Ekibe göre açığın istismar edildiğine dair bir kanıt yok. Düzeltme 25 Eylül'de 3.4.1 sürümüyle yayımlandı ve o gün ağın güvenilir doğrulayıcılarının yüzde 80'inden fazlası bunu çalıştırıyordu.
Dikkat çekici şekilde yama, defterin olağan değişiklik sürecini atladı; bu süreçte doğrulayıcıların oy vermesi ve değişikliğin yürürlüğe girmesi için iki hafta beklemesi gerekiyor. Sistem on yıldan uzun süredir tanıtıldığından beri işlem işleme değişikliğinin kasıtlı olarak bu şekilde gönderildiği ilk kez oldu. Bakım ekibi, açık kaynaklı düzeltmenin açığı ortaya çıkarırken haftalarca istismar edilebilir bırakacağı için ciddiyetin bunu haklı çıkardığını söyledi.
Açıklama, bu yıl Zcash'i sarsan sahtecilik paniğini yansıtıyor; gizlilik odaklı kripto para, korumalı havuzundaki sağlamlık açığını kapatmak için yarıştı ve bu açık sahte paraların yaratılmasına izin verebilirdi. Bu olay ZEC'yi düşüşe geçirdi; ağın Ironwood yükseltmesi sorunu çözene kadar.
XRP hafta boyunca zarar görmeden kurtulamadı. Token Pazartesi günü 1,38 dolardan işlem gördü; 24 saatte yüzde 1,6 düştü ve büyük kripto paralar arasında en kötü performansı gösterdi; son yedi günde ise yüzde 9,4 geriledi.
