Фиксированный объем предложения XRP столкнулся с серьезной программной угрозой, которая, по утверждению Ripple, была устранена до того, как ею успели воспользоваться злоумышленники. В связи с ускорением темпов обнаружения уязвимостей инженерная команда компании расширяет масштабы тестирования с использованием искусственного интеллекта и математических проверок с целью выявления давно существующих слабых мест.
Ripple ответила на критическую ошибку в XRP, грозившую эмиссии
АВТОР
ПОДЕЛИТЬСЯ
Основные выводы
- Эта ошибка могла привести к появлению XRP, доступных для расходования, в количестве, превышающем фиксированный объем предложения.
- Исправление было выпущено 25 сентября; специалисты не обнаружили доказательств злоупотребления этой уязвимостью.
- Ripple расширяет масштабы симуляции атак и математических проверок протокола.
Ripple реагирует на угрозу фиксированному предложению XRP
Критическая уязвимость могла привести к несанкционированному созданию XRP, что побудило Ripple усилить меры безопасности в XRP Ledger (XRPL). Дж. Айо Акиньеле (J. Ayo Akinyele), старший директор по инженерным вопросам в RippleX — подразделении Ripple, занимающемся поддержкой развития публичной блокчейна, — 10 октября изложил меры реагирования и приоритеты в области безопасности на сайте X после того, как накануне была раскрыта информация об этой уязвимости.
Veria AI — система обнаружения уязвимостей, разработанная компанией Veria Labs, специализирующейся на безопасности, — помогла выявить эту проблему в рамках программы поощрения за обнаружение ошибок в сети, которая вознаграждает исследователей за сообщения об уязвимостях. Акиньеле заявил:
«Эта уязвимость существовала в коде более десяти лет и могла привести к созданию XRP сверх установленного лимита».
Такое потенциальное создание несанкционированных токенов ставило под угрозу лимит, установленный при создании всех 100 миллиардов XRP в момент запуска сети. Система транзакций XRP Ledger основана на том, что валидаторы согласовывают действительность и порядок платежей, а не добывают новые монеты. Акиньеле рассказал, что разработчики тщательно протестировали исправление и скоординировали оперативное обновление с этими операторами перед публичным раскрытием информации.
Как ошибка могла привести к созданию несанкционированных XRP
Механизм обработки платежей мог некорректно рассчитывать суммы к уплате в специально сконструированных торговых предложениях, позволяя продавцам получать больше XRP, чем заплатил покупатель. Уязвимость механизма обработки платежей, связанная с переполнением, заключалась в том, что арифметические вычисления выходили за пределы числового диапазона и возвращали неверно заниженную итоговую сумму. Исправление было выпущено 25 сентября в версии xrpld 3.4.1 — версии серверного программного обеспечения, которое обрабатывает транзакции и ведет записи в реестре. Исследователи не обнаружили никаких доказательств использования этой уязвимости в публичной сети.
Это открытие также заставило компанию Ripple уделить больше внимания искусственному интеллекту и необходимости быстрее выявлять уязвимости. Руководитель Ripple подчеркнул:
«ИИ коренным образом меняет скорость обнаружения уязвимостей».
Его ответ предполагает расширение программ вознаграждений, увеличение масштабов поиска с помощью ИИ и проведение атак, имитирующих реальные атаки для выявления дефектов. Эту работу поддерживает внутренняя «красная команда», состоящая из специалистов, проводящих контролируемые атаки.
Эти приоритеты основываются на проактивных усилиях Ripple в области безопасности с использованием ИИ, включая сканирование кода и проверки, направленные на выявление проблем на ранних этапах разработки. В сотрудничестве с внешними исследователями и фондом XRPL команда пересмотрит устоявшиеся представления о платежах, согласовании транзакций и взаимодействии между серверами. Ориентиром для этих исследований станет обновленная оценка потенциальных угроз.
Ripple нацелена на риски, выходящие за рамки отдельных ошибок
Ripple также намерена ускорить математические проверки благодаря сотрудничеству с Common Prefix — компанией, занимающейся исследованиями и разработками в области блокчейна, — и фондом XRPL Foundation. В рамках этой работы к программному обеспечению XRP Ledger применяется формальная верификация, чтобы оценить, соответствует ли смоделированное поведение заданным правилам. Акиньеле пояснил, что такой подход может выявить более глубокие проблемы, которые могут ускользнуть от внимания при использовании других методов тестирования.
Существующая работа по верификации протокола кредитования (Lending Protocol) и хранилища одного актива (Single Asset Vault) послужит основой для этого расширения. Проект протокола кредитования XRPL предполагает обработку кредитов и погашений в реестре, в то время как оценка заемщиков происходит за его пределами. Доступность основной сети зависит от активации необходимых поправок или изменений сетевых правил, одобренных валидаторами.
Соответствующий хранилище предназначено для объединения одного типа активов вкладчиков, поддерживая институциональные пулы капитала на XRPL для кредитования и других функций. Акиньеле связал растущее использование финансовой инфраструктуры с большей ответственностью и пообещал продолжать инвестировать совместно с сообществом. Он подчеркнул:
«Наша цель — не просто находить больше ошибок. Наша цель — систематически устранять основные риски и сделать XRPL более защищённой от злоупотреблений».
Главный юридический директор Ripple Стюарт Олдероти заявляет, что правовой статус XRP в США остается однозначным после многолетних судебных разбирательств и публикации рекомендаций федеральных ведомств. Он
Читать: Ripple заявляет, что XRP не является ценной бумагой и признается цифровым товаром
Эта статья была переведена с английского языка с помощью искусственного интеллекта. Оригинальная версия на английском языке является авторитетным источником; автоматические переводы могут содержать неточности, особенно в юридической и нормативной терминологии.
