Ripple reageert op ernstige XRP-bug die vaste voorraad bedreigde

Ripple reageert op een bedreiging voor de vaste voorraad van XRP

Een kritieke fout had het mogelijk kunnen maken dat er zonder toestemming XRP werd gecreëerd, wat Ripple ertoe heeft aangezet de beveiliging van het XRP Ledger (XRPL) te versterken. J. Ayo Akinyele, senior director of engineering bij RippleX, de afdeling van Ripple die de ontwikkeling van de openbare blockchain ondersteunt, zette op 10 oktober op X de reactie en beveiligingsprioriteiten uiteen, na de bekendmaking van de kwetsbaarheid de dag ervoor.

Veria AI, een systeem voor het opsporen van kwetsbaarheden dat is ontwikkeld door beveiligingsbedrijf Veria Labs, hielp het probleem aan het licht te brengen via het bug bounty-programma van het netwerk, dat onderzoekers beloont voor het melden van zwakke plekken. Akinyele verklaarde:

"De bug zat al meer dan tien jaar in de codebase en had ertoe kunnen leiden dat er meer XRP werd gecreëerd dan de vastgestelde voorraad."

Die mogelijke creatie van ongeautoriseerde tokens vormde een bedreiging voor de limiet die was vastgesteld toen alle 100 miljard XRP bij de start van het netwerk werden gecreëerd. Het transactiesysteem van het XRP Ledger is gebaseerd op validators die overeenstemming bereiken over de geldigheid en volgorde van betalingen, in plaats van het minen van nieuwe munten. Akinyele beschreef hoe ontwikkelaars de patch grondig hebben getest en snelle upgrades hebben gecoördineerd met die operators voordat het probleem openbaar werd gemaakt.

Hoe de bug ongeautoriseerde XRP had kunnen creëren

De betalingsengine kon de verschuldigde bedragen bij speciaal opgezette handelsaanbiedingen onjuist berekenen, waardoor verkopers meer XRP konden ontvangen dan de koper had betaald. De overflow-fout in de betalingsengine hield in dat de rekenkundige bewerking de numerieke limiet overschreed en een onjuist laag totaal opleverde. De oplossing werd op 25 september uitgebracht in xrpld 3.4.1, een release van de serversoftware die transacties verwerkt en grootboekrecords bijhoudt. Onderzoekers vonden geen bewijs van misbruik op het openbare netwerk.

De ontdekking heeft ook de aandacht van Ripple voor kunstmatige intelligentie en de noodzaak om zwakke plekken sneller op te sporen, aangescherpt. De leidinggevende van Ripple benadrukte:

"AI verandert fundamenteel hoe snel kwetsbaarheden kunnen worden ontdekt."

Zijn reactie vraagt om krachtigere beloningsprogramma’s, uitgebreidere AI-ondersteunde zoekacties en adversarial testing, waarbij aanvallen worden gesimuleerd om gebreken bloot te leggen. Een intern ‘red team’, bestaande uit specialisten die gecontroleerde aanvallen uitvoeren, ondersteunt dit werk.

Deze prioriteiten bouwen voort op de proactieve AI-beveiligingsinspanningen van Ripple, waaronder het scannen en beoordelen van code om problemen in een vroeger stadium van de ontwikkeling op te sporen. In samenwerking met externe onderzoekers en de XRPL Foundation zal het team lang bestaande aannames op het gebied van betalingen, transactieovereenkomsten en communicatie tussen servers opnieuw onder de loep nemen. Een geactualiseerde beoordeling van potentiële bedreigingen zal als leidraad dienen voor deze onderzoeken.

Ripple richt zich op risico’s die verder gaan dan individuele bugs

Ripple is ook van plan wiskundige controles te versnellen via de samenwerking met Common Prefix, een onderzoeks- en ontwikkelingsbedrijf op het gebied van blockchain, en de XRPL Foundation. Hun werk past formele verificatie toe op de XRP Ledger-software om te beoordelen of het gemodelleerde gedrag de gedefinieerde regels volgt. Akinyele legde uit dat deze aanpak diepere problemen aan het licht zou kunnen brengen die andere testmethoden wellicht over het hoofd zien.

Bestaand verificatiewerk aan het Lending Protocol en de Single Asset Vault zal als basis dienen voor die uitbreiding. Het ontwerp van het XRPL-leningsprotocol zou leningen en terugbetalingen op het grootboek afhandelen, terwijl de beoordeling van kredietnemers daarbuiten plaatsvindt. De beschikbaarheid op het mainnet hangt af van de activering van de vereiste wijzigingen, oftewel aanpassingen aan de netwerkregels die door validators zijn goedgekeurd.

De bijbehorende vault is ontworpen om één type activum van deposanten te bundelen, ter ondersteuning van institutionele kapitaalpools op het XRPL voor kredietverlening en andere functies. Akinyele bracht het toenemende gebruik van de financiële infrastructuur in verband met een grotere verantwoordelijkheid en beloofde voortdurende investeringen samen met de gemeenschap. Hij benadrukte:

"Ons doel is niet simpelweg om meer bugs te vinden. Het is om de onderliggende risico’s systematisch aan te pakken en het XRPL moeilijker te maken om te misbruiken."