Ripple reaguje na poważny błąd w XRP, który zagrażał stałej podaży

Ripple reaguje na zagrożenie dla stałej podaży XRP

Krytyczna luka mogła umożliwić nieautoryzowane tworzenie XRP, co skłoniło firmę Ripple do wzmocnienia zabezpieczeń w całym XRP Ledger (XRPL). J. Ayo Akinyele, starszy dyrektor ds. inżynierii w RippleX – oddziale firmy Ripple wspierającym rozwój publicznego łańcucha bloków – przedstawił 10 października na platformie X działania podjęte w odpowiedzi na ujawnioną dzień wcześniej lukę oraz priorytety w zakresie bezpieczeństwa.

Veria AI, system wykrywania luk w zabezpieczeniach opracowany przez firmę Veria Labs, pomógł wykryć ten problem w ramach programu bug bounty sieci, który nagradza badaczy za zgłaszanie słabych punktów. Akinyele stwierdził:

„Błąd ten istniał w kodzie źródłowym od ponad dekady i mógłby umożliwić tworzenie XRP w ilości przekraczającej ustaloną podaż”.

Ta potencjalna emisja nieautoryzowanych tokenów stanowiła zagrożenie dla limitu ustalonego w momencie utworzenia wszystkich 100 miliardów XRP przy uruchomieniu sieci. System transakcyjny XRP Ledger opiera się na walidatorach, którzy uzgadniają ważność i kolejność płatności, a nie na wydobywaniu nowych monet. Akinyele opisał, jak programiści dokładnie przetestowali poprawkę i skoordynowali szybkie aktualizacje z operatorami przed publicznym ujawnieniem.

W jaki sposób błąd mógłby doprowadzić do wygenerowania nieautoryzowanych tokenów XRP

Silnik płatności mógł nieprawidłowo obliczać kwoty należne w ramach specjalnie skonstruowanych ofert handlowych, umożliwiając sprzedającym otrzymanie większej ilości XRP niż zapłacił kupujący. Błąd przepełnienia silnika płatności polegał na przekroczeniu limitu arytmetycznego i zwróceniu nieprawidłowo małej sumy. Poprawka została udostępniona 25 września w wersji xrpld 3.4.1, czyli wydaniu oprogramowania serwerowego, które przetwarza transakcje i prowadzi rejestry księgi. Badacze nie znaleźli żadnych dowodów na wykorzystanie tej luki w sieci publicznej.

Odkrycie to sprawiło również, że firma Ripple jeszcze bardziej skoncentrowała się na sztucznej inteligencji i potrzebie szybszego identyfikowania słabych punktów. Dyrektor wykonawczy firmy Ripple podkreślił:

„Sztuczna inteligencja zasadniczo zmienia tempo wykrywania luk w zabezpieczeniach”.

Jego odpowiedź wzywa do wzmocnienia programów nagród, rozszerzenia wyszukiwań wspomaganych przez sztuczną inteligencję oraz testów adversarialnych, które symulują ataki w celu ujawnienia wad. Prace te wspiera wewnętrzny zespół „red team”, składający się ze specjalistów przeprowadzających kontrolowane ataki.

Priorytety te opierają się na proaktywnych działaniach firmy Ripple w zakresie bezpieczeństwa opartego na sztucznej inteligencji, w tym skanowaniu kodu i przeglądach mających na celu wykrywanie problemów na wcześniejszych etapach rozwoju. We współpracy z zewnętrznymi badaczami oraz Fundacją XRPL zespół ponownie przeanalizuje utrwalone założenia dotyczące płatności, uzgadniania transakcji oraz komunikacji między serwerami. Zaktualizowana ocena potencjalnych zagrożeń będzie wytyczną dla tych analiz.

Ripple skupia się na ryzykach wykraczających poza pojedyncze błędy

Ripple zamierza również przyspieszyć kontrole matematyczne dzięki współpracy z Common Prefix, firmą zajmującą się badaniami i rozwojem w zakresie blockchain, oraz Fundacją XRPL. Ich praca polega na zastosowaniu formalnej weryfikacji oprogramowania XRP Ledger w celu oceny, czy modelowane zachowanie jest zgodne z określonymi regułami. Akinyele wyjaśnił, że takie podejście może ujawnić głębsze problemy, które inne metody testowania mogłyby przeoczyć.

Istniejące prace weryfikacyjne dotyczące protokołu pożyczkowego (Lending Protocol) oraz skarbca pojedynczych aktywów (Single Asset Vault) będą stanowić podstawę tego rozszerzenia. Projekt protokołu pożyczkowego XRPL przewiduje obsługę pożyczek i spłat w rejestrze, podczas gdy ocena pożyczkobiorców odbywa się poza nim. Dostępność sieci głównej (mainnet) zależy od aktywacji wymaganych poprawek lub zmian zasad sieci zatwierdzonych przez walidatorów.

Powiązany skarbiec został zaprojektowany w celu gromadzenia jednego rodzaju aktywów od deponentów, wspierając instytucjonalne pule kapitałowe w sieci XRPL na potrzeby udzielania pożyczek i innych funkcji. Akinyele powiązał rosnące wykorzystanie infrastruktury finansowej z większą odpowiedzialnością i zobowiązał się do dalszych inwestycji we współpracy ze społecznością. Podkreślił:

„Naszym celem nie jest po prostu wykrywanie kolejnych błędów. Chodzi o systematyczne eliminowanie podstawowych zagrożeń i utrudnienie wykorzystania luki w XRPL”.