L'offerta fissa di XRP ha subito una grave minaccia informatica che, secondo Ripple, è stata risolta prima che potesse essere sfruttata. Il suo team di ingegneri sta ampliando i test assistiti dall'intelligenza artificiale e i controlli matematici per individuare le debolezze di lunga data, dato che la scoperta di vulnerabilità sta accelerando.
Ripple: risolto il grave bug di XRP che minacciava l'offerta fissa
SCRITTO DA
CONDIVIDI
Punti chiave
- Il bug avrebbe potuto generare XRP spendibili oltre l’offerta fissa.
- La correzione è stata rilasciata il 25 settembre; gli investigatori non hanno trovato prove di sfruttamento.
- Ripple sta ampliando gli attacchi simulati e i controlli matematici del protocollo.
Ripple risponde a una minaccia all’offerta fissa di XRP
Una falla critica avrebbe potuto consentire la creazione non autorizzata di XRP, spingendo Ripple a rafforzare la sicurezza su tutto l’XRP Ledger (XRPL). J. Ayo Akinyele, direttore senior dell’ingegneria presso RippleX, la divisione di Ripple che supporta lo sviluppo della blockchain pubblica, ha illustrato la risposta e le priorità di sicurezza su X il 10 ottobre, in seguito alla divulgazione della vulnerabilità avvenuta il giorno precedente.
Veria AI, un sistema di rilevamento delle vulnerabilità sviluppato dalla società di sicurezza Veria Labs, ha contribuito a scoprire il problema attraverso il programma di bug bounty della rete, che premia i ricercatori che segnalano punti deboli. Akinyele ha dichiarato:
"Il bug era presente nel codice da oltre un decennio e avrebbe potuto consentire la creazione di XRP oltre la sua offerta fissa."
Tale potenziale creazione di token non autorizzati minacciava il limite stabilito al momento della creazione di tutti i 100 miliardi di XRP all’avvio della rete. Il sistema di transazioni dell’XRP Ledger si basa sul consenso dei validatori riguardo alla validità e all’ordine dei pagamenti, piuttosto che sul mining di nuove monete. Akinyele ha descritto come gli sviluppatori abbiano testato accuratamente la patch e coordinato rapidi aggiornamenti con tali operatori prima della divulgazione pubblica.
Come il bug avrebbe potuto generare XRP non autorizzati
Il motore di pagamento avrebbe potuto calcolare in modo errato gli importi dovuti in offerte di scambio appositamente costruite, consentendo ai venditori di ricevere più XRP di quanto pagato dall’acquirente. Il difetto di overflow del motore di pagamento comportava un’operazione aritmetica che superava il proprio limite numerico e restituiva un totale erroneamente inferiore. La correzione è stata rilasciata il 25 settembre in xrpld 3.4.1, una versione del software server che elabora le transazioni e gestisce i registri contabili. Gli investigatori non hanno trovato prove di sfruttamento della vulnerabilità sulla rete pubblica.
La scoperta ha inoltre rafforzato l’attenzione di Ripple sull’intelligenza artificiale e sulla necessità di identificare i punti deboli più rapidamente. Il dirigente di Ripple ha sottolineato:
«L’IA sta cambiando radicalmente la velocità con cui è possibile individuare le vulnerabilità».
La sua risposta richiede programmi di ricompensa più incisivi, ricerche ampliate assistite dall’IA e test adversarial, che simulano attacchi per portare alla luce i difetti. Un red team interno, composto da specialisti che conducono attacchi controllati, supporta questo lavoro.
Tali priorità si basano sugli sforzi proattivi di Ripple in materia di sicurezza tramite IA, tra cui la scansione e la revisione del codice volte a individuare i problemi nelle prime fasi dello sviluppo. Collaborando con ricercatori esterni e con la Fondazione XRPL, il team riesaminerà i presupposti consolidati relativi ai pagamenti, all’accordo sulle transazioni e alla comunicazione tra i server. Una valutazione aggiornata delle potenziali minacce guiderà tali analisi.
Ripple punta a gestire i rischi al di là dei singoli bug
Ripple intende inoltre accelerare i controlli matematici attraverso la collaborazione con Common Prefix, una società di ricerca e sviluppo nel campo della blockchain, e con la Fondazione XRPL. Il loro lavoro applica la verifica formale al software dell’XRP Ledger per valutare se il comportamento modellato segua le regole definite. Akinyele ha spiegato che questo approccio potrebbe portare alla luce problemi più profondi che altri metodi di test potrebbero trascurare.
Il lavoro di verifica già in corso sul protocollo di prestito e sul Single Asset Vault fornirà le basi per tale espansione. Il protocollo di prestito XRPL è progettato per gestire prestiti e rimborsi sul ledger, mentre le valutazioni dei mutuatari avvengono al di fuori di esso. La disponibilità sulla mainnet dipende dall’attivazione delle modifiche richieste, ovvero dai cambiamenti alle regole di rete approvati dai validatori.
Il vault correlato è progettato per raggruppare un tipo di asset proveniente dai depositanti, supportando i pool di capitale istituzionali su XRPL per prestiti e altre funzioni. Akinyele ha collegato il crescente utilizzo dell’infrastruttura finanziaria a una maggiore responsabilità e si è impegnato a continuare a investire insieme alla comunità. Ha sottolineato:
«Il nostro obiettivo non è semplicemente quello di individuare più bug. È quello di affrontare sistematicamente i rischi sottostanti e rendere l’XRPL più difficile da sfruttare.»
Stuart Alderoty, responsabile legale di Ripple, afferma che lo status normativo di XRP negli Stati Uniti rimane chiaro dopo anni di contenziosi e di orientamenti da parte delle agenzie federali. Egli
Leggi ora: Ripple afferma che XRP non è un titolo, ma è riconosciuto come materia prima digitale
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
