एक दशक पुराना XRP लेजर बग हवा में से XRP बना सकता था।

वास्तव में क्या टूटा था?

यह समस्या उस कोड के अंदर थी जो XRP लेजर के अंतर्निहित विकेंद्रीकृत एक्सचेंज (DEX) पर भुगतानों को निपटाता है। कल प्रकाशित आधिकारिक भेद्यता प्रकटीकरण रिपोर्ट के अनुसार, जब एक ही भुगतान कई ऑफ़र का उपभोग करता था, तो इंजन बिना जाँचे 64-बिट अंकगणित का उपयोग करके राशियों को जोड़ देता था।

उस योग को पर्याप्त बड़ा करने पर, यह "रैप अराउंड" हो गया, जो एक पूर्णांक ओवरफ्लो करता है। बाद में एक विशाल संख्या एक छोटी संख्या बन गई और व्यापार के दूसरी तरफ विक्रेताओं को पूरा भुगतान कर दिया गया, लेकिन खरीदार से केवल रैप-अराउंड किया हुआ, छोटा कुल राशि ही ली गई। यह अंतर XRP था जो पहले कभी मौजूद नहीं था।

लेज़र एक सुरक्षा जांच करता है, जिसे इनवेरिएंट कहा जाता है, जिसका काम यह पुष्टि करना है कि कभी भी कोई XRP नहीं बनाया जाता है। उस जांच में भी वही बिना जाँची गई गणित का उपयोग किया गया था, इसलिए वह उस सटीक विफलता को पहचानने में अक्षम थी, जिसे पकड़ने के लिए ही इसे बनाया गया था। रिपोर्ट इस खामी का पता वर्तमान भुगतान इंजन तक लगाती है, जिसे 2015 में लिखा गया था।

एक हमले की लागत कितनी कम होती?

रिपोर्ट में कहा गया है कि इसकी लागत कुछ सौ XRP थी जो भंडार के रूप में लॉक हो गए थे, जो ऑब्जेक्ट्स को हटाने के बाद वापस कर दिए जाते हैं, साथ ही सामान्य लेनदेन शुल्क भी लगता। एक हमलावर को सैकड़ों जानबूझकर गलत कीमत वाले ऑफ़र रखने और फिर उनमें से एक के माध्यम से एक भुगतान करने की आवश्यकता होती।

लाभ ही डरावना हिस्सा था, क्योंकि RippleX ने इस बग को गंभीर बताया है, क्योंकि एक ही सत्यापित लेनदेन में कुल आपूर्ति से अधिक खर्च करने योग्य XRP बनाया जा सकता था। XRP की पूरी पेशकश 100 अरब टोकन की निश्चित सीमा (हार्ड कैप) पर आधारित है, इसलिए एक चुपचाप सिक्का ढालने की प्रक्रिया (साइलेंट मिंट) इस संपत्ति के मूल वादे को प्रभावित कर देती। इसीलिए व्हेल इनसाइडर (Whale Insider) जैसे पोस्ट्स ने इसे एक बग के रूप में पेश किया, जो "अरबों" XRP बना सकता था।

इसे किसने खोजा और इसे कितनी तेजी से ठीक किया गया?

समय-सीमा काफी संक्षिप्त थी और इस प्रकार थी:

• 22 सितंबर: केडेन लियाओ और वेरिया एआई ने XRPL बग बाउंटी कार्यक्रम के माध्यम से अपने निष्कर्ष प्रस्तुत किए, इसे "मेजर" रेटिंग दी।
• सितंबर 23: RippleX ने इसे दोहराया, इसे क्रिटिकल (गंभीर) में अपग्रेड किया, और फिक्स को मर्ज कर दिया गया।
• 25 सितंबर: Xrpld 3.4.1 जारी किया गया, और उस दिन डिफ़ॉल्ट यूनिक नोड लिस्ट (UNL) वैलिडेटर्स में से 80% से अधिक इसे चला रहे थे।
• अक्टूबर 9: सार्वजनिक प्रकटीकरण।

यह पैच सामान्य संशोधन मतदान से नहीं गुज़रा, बल्कि इसे रिलीज़ 3.4.1 में सीधे कोड परिवर्तन के रूप में भेजा गया और प्रत्येक सर्वर के अपग्रेड होने पर यह प्रभावी हो गया। स्रोत कोड केवल परिनियोजन के बाद प्रकाशित किया गया, जो हमलावरों को नक्शा थमाने से बचने के लिए एक मानक कदम है। तब से XRPL ऑपरेशंस खाते ने 3.4.1 को न्यूनतम आवश्यक संस्करण बना दिया है, और जोड़ा है:

हमें कोई सबूत नहीं मिला है कि इस समस्या का किसी भी सार्वजनिक नेटवर्क पर शोषण किया गया हो।

उसी रिलीज़ में एक दूसरा, कम गंभीर बग भी ठीक किया गया था। यह बैच लेनदेन को लपेटने (wrapped) के तरीके से संबंधित था, और इसका समाधान fixBatchV1_2 संशोधन के पीछे है, जो 9 अक्टूबर को BatchV1_1 के साथ मेननेट पर लाइव हुआ था। रिपोर्ट में कहा गया है कि उससे भी कोई धनराशि नहीं खोई।

यह खुलासा क्रिप्टो सुरक्षा के लिए एक बुरे सप्ताह में हुआ, क्योंकि लेजर डिवाइस के नुकसान, जिसकी रिपोर्ट Bitcoin.com न्यूज़ ने की थी, लगभग $93.4 मिलियन तक पहुँच गए। अंत में, रिपल समर्थित एवरनॉर्थ सोमवार को एनएएसडीएक्यू (Nasdaq) पर XRPN के तहत ट्रेडिंग शुरू करने की तैयारी कर रहा है, जिसके पास अपनी बहीखातों में लगभग 473 मिलियन XRP हैं। XRP विकेंद्रीकृत वित्त (DeFi) में भी विस्तार कर रहा है, जिसमें फायरलाइट ने हाल ही में नेटवर्क पर वॉल्ट सुरक्षा सक्रिय की है।