XRP Ledger opravuje hlavní zranitelnost právě včas

Kritická bezpečnostní chyba v XRP Ledgery Navrhovaný dodatek Batch mohl útočníkům umožnit provádět neoprávněné transakce z účtů obětí, a to vše bez nutnosti soukromých klíčů. Chyba byla odhalena 19. února předtím, než byl dodatek zveřejněn na hlavní síti, což znamenalo, že nedošlo k ohrožení žádných finančních prostředků. Generální ředitel Cantiny Hari Mulackal to označil za potenciálního kandidáta na „největší bezpečnostní hack podle hodnoty v dolarech“ v historii blockchainu, přičemž tržní kapitalizace XRP se pohybuje kolem 80 miliard dolarů.

Co přesně byla ta chyba?

Zranitelnost se nacházela v procesu ověřování podpisu pro dávkové transakce v systému Rippled verze 3.1.0. Logická chyba v ověřovací smyčce vytvořila podmínku předčasného ukončení, kterou mohli útočníci zneužít.

Takhle to fungovalo v praxi:

• Útočník by mohl vytvořit dávkovou transakci obsahující vnitřní operace (platby, úpravy účtu) vázané na účet oběti.
• Transakce by použila falešný záznam podepisující osoby.
• Chybné ověření by kontrolovalo neexistující účet, způsobovalo předčasný odchod a vynechávalo by řádné ověření.
• Neoprávněné operace by pak probíhaly, jako by byly legitimní.

Pokud by byl útok zneužit po aktivaci, útočníci by mohli vyčerpat účty až na jejich rezervní zůstatek, změnit stav účetních knih prostřednictvím transakcí, jako je AccountSet nebo TrustSet, a potenciálně i zcela smazat účty.

Jak to bylo chyceno?

Bezpečnostní inženýr Pranamya Keshkamat z Cantina, bezpečnostní firma zaměřená na blockchain, objevila chybu v auditním nástroji Apex, který využívá umělou inteligenci. K objevu došlo během statické analýzy kódové základny Rippled.

Apex, popisovaný jako autonomní auditor zabezpečení umělé inteligence, označil logickou chybu. Keshkamat a tým poté předložili zprávu o odpovědném zveřejnění. Inženýrské týmy Ripple ji rychle ověřily pomocí proof-of-concept a jednotkových testů.

Je to konkrétní případ zabezpečení s podporou umělé inteligence, které přináší výsledky, nikoli je jen slibuje.

Jak rychle přišla odpověď?

Od objevení až po zveřejnění trval celý proces jeden týden.

19. února, téhož dne, kdy Cantina nahlásila chybu, bylo validátorům UNL doporučeno hlasovat proti dodatku Batch. Několik z nich okamžitě uplatnilo veto.

Objevte slibné projekty...

Slibné projekty...

(Inzerát)

Článek pokračuje...

Do 23. února vydala společnost Ripple nouzovou záplatu s verzí Rippled 3.1.1. Tato aktualizace označuje dodatek Batch jako nepodporovaný a zavádí dočasnou opravu s názvem fixBatchInnerSigs, která blokuje aktivaci.

26. února XRPL Labs zveřejněn zveřejnit úplnou zprávu o zveřejnění zranitelností.

Co se stane dál?

Dodatek Batch ještě není mrtvý. Vývojový tým XRPL pracuje na náhradě s názvem BatchV1_1. Aktualizovaná verze odstraňuje podmínky pro předčasný odchod, přidává ochranu autorizace a zpřísňuje kontroly podpisů napříč všemi oblastmi. Zatím není stanoveno datum vydání a kód je stále ve fázi revize.

Validátoři by měli okamžitě upgradovat na Rippled 3.1.1. Běžní uživatelé nemusí podnikat žádné kroky, protože chyba se nikdy neobjevila, ale je dobré sledovat oficiální kanály XRPL pro aktualizace BatchV1_1.

Proč je to důležité?

Tohle je jeden z těch téměř neúspěchů, který by měl upoutat pozornost celého odvětví. Chyba se nacházela v kódu, o kterém se aktivně hlasovalo pro aktivaci mainnetu. Kdyby se načasování lišilo byť jen o několik dní, výsledek mohl vypadat úplně jinak.

Skutečnost, že nástroj umělé inteligence sehrál v jeho odhalení klíčovou roli, je významná. Audity třetích stran byly v kryptoměnách vždy důležité, ale audity s pomocí umělé inteligence dokazují, že dokáží odhalit věci, které by lidští recenzenti mohli při běžné kontrole kódu přehlédnout.

Společnost XRPL Labs uznala, že incident bude hnací silou pro neustálé zlepšování jejich procesů kontroly kódu. Pro ekosystém, který zpracovává desítky miliard dolarů, to není volitelné. Je to o přežití.

Zdroje:

• Cointelegraph Zpráva o objevu bezpečnostního inženýra a nástroje umělé inteligence Apex ze společnosti Cantina, včetně citací generálního ředitele Hariho Mulackala
• Blog XRPL Labs Oficiální zpráva o zveřejnění zranitelností s technickými podrobnostmi, časovým harmonogramem nápravy a doporučeními validátorů