Коротко
- Супроводжувачі XRP Ledger розкрили та виправили критичну помилку переповнення платіжного рушія, про яку повідомили через програму винагород за помилки у вересні, що могла дозволити зловмиснику створити підроблені XRP.
- Ця вразливість залишалася непоміченою з 2015 року, оскільки жоден звичайний платіж не активує її, а перевірка безпеки реєстру «XRP не створено» використовувала ту саму зламану арифметику.
- Немає доказів, що цю помилку колись використовували, кажуть розробники XRP Ledger.
Розробники, які стоять за XRP Ledger, розкрили та виправили критичну вразливість, яка, якби залишилася невиправленою, могла дозволити зловмиснику створити XRP з нічого — вада, що дрімала в коді мережі близько десятиліття.
У розкритті, опублікованому в п’ятницю, супроводжувачі реєстру заявили, що дослідник повідомив про помилку через програму винагород за помилки XRPL у вересні. Проблемою було цілочисельне переповнення в платіжному рушії — частині програмного забезпечення, яка обробляє платежі.
Коли один платіж спожив сотні спеціально створених пропозицій з книги замовлень, сума, яку заборгував покупець, перевищила максимальне значення, яке система могла зберегти, і «загорнулася» до крихітного числа. Механізм сплатив кожному продавцю повністю, але стягнув з покупця майже нічого, а різниця становила новостворені XRP, яких ніколи не повинно було існувати.
Гірше того, вбудована перевірка безпеки реєстру, призначена підтвердити, що жодна транзакція не створює XRP, використовувала ту саму помилкову арифметику, тому вона загорнулася ідентично й нічого не виявила. Супроводжувачі сказали, що зловмисник міг би створити XRP, які можна витратити, далеко за межами загальної пропозиції токена в одній транзакції, а потім перемістити їх, обміняти або надіслати на біржі.
BitcoinBTC · USD
$82,731−2.98%
5 жовт7 жовт9 жовт10 жовт12 жовт
$86.6k$84.6k$82.7k$80.7k
24г МаксимумМакс$84,231
24г МінімумМін$82,379
ОбсягОбсяг$1.0B
Ринкові прогнозиКоефіцієнти від Myriad
→Купити Bitcoin за USDT
Працює на Jupiter
Інженери RippleX підтвердили, що ця помилка існувала з моменту написання поточного платіжного рушія у 2015 році й залишалася непоміченою, оскільки жоден звичайний платіж навіть близько не наближається до спричинення переповнення.
Команда заявила, що немає жодних доказів того, що вразливість колись була використана. Виправлення вийшло у версії 3.4.1 25 вересня, і того дня понад 80% довірених валідаторів мережі працювали з ним.
Примітно, що патч обійшов звичайний процес внесення змін до реєстру, який вимагає від валідаторів голосування та очікування двох тижнів до набуття чинності зміни, — це перший випадок, коли зміна в обробці транзакцій була навмисно випущена таким чином відтоді, як систему було запроваджено понад десять років тому. Супровідники заявили, що серйозність виправдовувала це, оскільки виправлення з відкритим кодом виявило б помилку, залишаючи її використовуваною протягом тижнів.
Це розкриття перегукується зі страхом підробки, який сколихнув Zcash цього року, коли конфіденційна монета поспішила виправити помилку цілісності у своєму захищеному пулі, яка могла б дозволити підроблені монети. Той епізод спричинив падіння ZEC, перш ніж оновлення Ironwood мережі вирішило це.
XRP не уникнув тижня неушкодженим. Токен торгувався на рівні $1,38 у понеділок, впавши на 1,6% за 24 години, — найгірший показник серед основних криптовалют, — і знизившись на 9,4% за останні сім днів.
