Ripple phản hồi lỗ hổng nghiêm trọng XRP từng đe dọa nguồn cung cố định

Ripple phản ứng trước mối đe dọa đối với nguồn cung cố định của XRP

Một lỗ hổng nghiêm trọng có thể đã cho phép tạo ra XRP trái phép, khiến Ripple phải tăng cường bảo mật trên toàn bộ XRP Ledger (XRPL). J. Ayo Akinyele, giám đốc kỹ thuật cấp cao tại RippleX, bộ phận của Ripple hỗ trợ phát triển blockchain công khai, đã nêu rõ các biện pháp ứng phó và các ưu tiên về bảo mật trên X vào ngày 10 tháng 10, sau khi lỗ hổng này được tiết lộ vào ngày hôm trước.

Veria AI, một hệ thống phát hiện lỗ hổng do công ty bảo mật Veria Labs phát triển, đã giúp phát hiện vấn đề này thông qua chương trình tiền thưởng lỗi của mạng lưới, chương trình này thưởng cho các nhà nghiên cứu khi họ báo cáo các điểm yếu. Akinyele cho biết:

"Lỗ hổng này đã tồn tại trong mã nguồn hơn một thập kỷ và có thể đã cho phép tạo ra XRP vượt quá nguồn cung cố định."

Việc tạo ra các token trái phép tiềm ẩn này đe dọa đến giới hạn đã được thiết lập khi toàn bộ 100 tỷ XRP được tạo ra ngay từ khi mạng lưới ra đời. Hệ thống giao dịch của XRP Ledger dựa trên việc các trình xác thực đồng ý về tính hợp lệ và thứ tự thanh toán thay vì khai thác các đồng tiền mới. Akinyele cho biết các nhà phát triển đã kiểm tra kỹ lưỡng bản vá lỗi và phối hợp nâng cấp nhanh chóng với các nhà điều hành trước khi công bố công khai.

Lỗi này có thể tạo ra XRP trái phép như thế nào

Cơ chế thanh toán có thể tính toán sai số tiền phải trả trong các đề nghị giao dịch được thiết kế đặc biệt, cho phép người bán nhận được nhiều XRP hơn số tiền người mua đã thanh toán. Lỗi tràn bộ nhớ của cơ chế thanh toán liên quan đến việc thực hiện phép tính vượt quá giới hạn số học và trả về tổng số tiền nhỏ hơn thực tế. Bản sửa lỗi đã được phát hành vào ngày 25 tháng 9 trong xrpld 3.4.1, một phiên bản phần mềm máy chủ xử lý giao dịch và duy trì hồ sơ sổ cái. Các nhà điều tra không tìm thấy bằng chứng nào về việc khai thác trên mạng công cộng.

Phát hiện này cũng làm tăng sự tập trung của Ripple vào trí tuệ nhân tạo (AI) và nhu cầu xác định các điểm yếu nhanh hơn. Một lãnh đạo của Ripple nhấn mạnh:

"AI đang thay đổi cơ bản tốc độ phát hiện các lỗ hổng."

Phản hồi của ông kêu gọi triển khai các chương trình thưởng mạnh mẽ hơn, mở rộng các cuộc tìm kiếm có sự hỗ trợ của AI và thực hiện thử nghiệm đối kháng (adversarial testing) – mô phỏng các cuộc tấn công để phơi bày các lỗ hổng. Một đội "red team" nội bộ, gồm các chuyên gia thực hiện các cuộc tấn công có kiểm soát, hỗ trợ công việc này.

Những ưu tiên này dựa trên các nỗ lực chủ động của Ripple trong lĩnh vực bảo mật AI, bao gồm quét và rà soát mã nhằm phát hiện các vấn đề sớm hơn trong quá trình phát triển. Hợp tác với các nhà nghiên cứu bên ngoài và Quỹ XRPL, nhóm sẽ xem xét lại các giả định lâu nay về thanh toán, thỏa thuận giao dịch và giao tiếp giữa các máy chủ. Một đánh giá cập nhật về các mối đe dọa tiềm ẩn sẽ định hướng cho các cuộc kiểm tra này.

Ripple Nhắm Đến Các Rủi Ro Ngoài Các Lỗi Riêng Lẻ

Ripple cũng có kế hoạch đẩy nhanh các kiểm tra toán học thông qua hợp tác với Common Prefix, một công ty nghiên cứu và phát triển blockchain, và Quỹ XRPL. Công việc của họ áp dụng xác minh chính thức vào phần mềm XRP Ledger để đánh giá liệu hành vi mô phỏng có tuân thủ các quy tắc đã định hay không. Akinyele giải thích rằng phương pháp này có thể phát hiện các vấn đề sâu hơn mà các phương pháp kiểm thử khác có thể bỏ sót.

Các công việc xác minh hiện có về Giao thức Cho vay và Kho Tài sản Đơn lẻ sẽ cung cấp cơ sở cho việc mở rộng này. Thiết kế giao thức cho vay XRPL sẽ xử lý các khoản vay và trả nợ trên sổ cái, trong khi việc đánh giá người vay diễn ra bên ngoài sổ cái. Tính khả dụng của mạng chính phụ thuộc vào việc kích hoạt các sửa đổi cần thiết, tức là những thay đổi quy tắc mạng được các trình xác thực phê duyệt.

Kho liên quan được thiết kế để tập hợp một loại tài sản từ người gửi tiền, hỗ trợ các quỹ vốn tổ chức trên XRPL cho mục đích cho vay và các chức năng khác. Akinyele đã liên kết việc sử dụng cơ sở hạ tầng tài chính ngày càng tăng với trách nhiệm lớn hơn và cam kết tiếp tục đầu tư cùng cộng đồng. Ông nhấn mạnh:

"Mục tiêu của chúng tôi không chỉ đơn thuần là tìm ra thêm các lỗ hổng. Mà là giải quyết một cách có hệ thống các rủi ro tiềm ẩn và làm cho XRPL khó bị khai thác hơn."