Az XRP Ledger éppen időben javítja a súlyos sebezhetőséget

Kritikus biztonsági hiba a XRP Ledger A javasolt Batch módosítás lehetővé tehette volna a támadók számára, hogy jogosulatlan tranzakciókat hajtsanak végre az áldozatok számláiról, mindezt privát kulcsok nélkül. A hibát február 19-én észlelték, mielőtt a módosítás életbe lépett volna a mainneten, ami azt jelentette, hogy semmilyen pénzeszköz nem került veszélybe. Hari Mulackal, a Cantina vezérigazgatója a blokklánc történetének „dollárértékben mért legnagyobb biztonsági hackjének” nevezte a hibát, mivel az XRP piaci kapitalizációja körülbelül 80 milliárd dollár.

Mi volt pontosan a hiba?

A sebezhetőség a Rippled 3.1.0-s verziójában a kötegelt tranzakciók aláírás-érvényesítési folyamatában rejlett. Az érvényesítési ciklusban fellépő logikai hiba egy korai kilépési feltételt hozott létre, amelyet a támadók kihasználhattak.

Így működött a gyakorlatban:

• Egy támadó létrehozhat egy kötegelt tranzakciót, amely az áldozat számlájához kapcsolódó belső műveleteket (fizetések, számlamódosítások) tartalmaz.
• A tranzakció hamisított aláírói bejegyzést használna.
• A hibás validáció egy nem létező fiókot ellenőrizne, a korai kilépést eredményezné, és kihagyná a megfelelő ellenőrzést.
• A jogosulatlan műveletek ezután úgy mennének végbe, mintha jogosak lennének

Ha az aktiválás után kihasználják a sérülékenységet, a támadók akár a tartalékegyenlegükig is kiüríthették a számlákat, megváltoztathatták a főkönyvi állapotokat olyan tranzakciókon keresztül, mint az AccountSet vagy a TrustSet, sőt akár teljesen törölhették is a számlákat.

Hogyan fogták el?

Pranamya Keshkamat biztonsági mérnök Pince, egy blokklánc-központú biztonsági cég, a hibát a cég mesterséges intelligenciával működő auditáló eszköze, az Apex mellett fedezte fel. A felfedezés a Rippled kódbázis statikus elemzése során történt.

Az Apex, amelyet autonóm mesterséges intelligencia biztonsági auditorként jellemeznek, jelezte a logikai hibát. Keshkamat és csapata ezután felelősségteljes közzétételi jelentést nyújtott be. A Ripple mérnöki csapatai gyorsan validálták azt egy koncepcióbizonyítás és egységtesztek segítségével.

Ez egy konkrét esete annak, hogy a mesterséges intelligencia által támogatott biztonság eredményeket hoz, nem csak ígéri azokat.

Milyen gyorsan jött a válasz?

A felfedezéstől a nyilvános közlésig a teljes folyamat egy hetet vett igénybe.

Február 19-én, ugyanazon a napon, amikor a Cantina jelentette a hibát, az UNL validátorait arra kérték, hogy szavazzanak nemmel a Batch módosítására. Többen azonnal vétójogot éltek.

Fedezze fel az ígéretes projekteket...

Ígéretes projektek...

(Hirdetés)

A cikk folytatódik...

Február 23-án a Ripple kiadott egy vészjavítást a Ripple 3.1.1-es verziójához. Ez a frissítés a Batch módosítást nem támogatottként jelöli meg, és egy fixBatchInnerSigs nevű ideiglenes javítást vezet be az aktiválás blokkolására.

Február 26-án az XRPL Labs közzétett nyilvánosan közzéteszi a teljes sebezhetőségi jelentést.

Mi történik ezután?

A Batch módosítása nem halt meg. Az XRPL fejlesztőcsapata egy BatchV1_1 nevű helyettesítőn dolgozik. A frissített verzió eltávolítja a korai kilépési feltételeket, jogosultságvédelmi funkciókat ad hozzá, és minden területen szigorítja az aláírás-ellenőrzéseket. Még nincs meghatározott megjelenési dátum, és a kód még felülvizsgálat alatt áll.

A validátoroknak azonnal frissíteniük kell a Rippled 3.1.1-es verziójára. A rendszeres felhasználóknak nem kell semmit tenniük, mivel a hiba soha nem jelent meg, de jó ötlet figyelni a hivatalos XRPL csatornákat a BatchV1_1 frissítéseiért.

Miért számít ez?

Ez egyike azoknak a majdnem-baleseteknek, amelyekre az egész iparágnak fel kellene hívnia a figyelmet. A hiba olyan kódban volt jelen, amelynek a mainnet aktiválásáról aktívan szavaztak. Ha az időzítés akár csak néhány nappal is eltért volna, az eredmény nagyon másképp is kinézhetett volna.

Az a tény, hogy egy mesterséges intelligencia által támogatott eszköz központi szerepet játszott a hiba észlelésében, jelentős. A harmadik féltől származó auditok mindig is fontosak voltak a kriptovalutákban, de a mesterséges intelligencia által támogatott auditok bizonyítják, hogy képesek olyan dolgokat is észrevenni, amelyeket az emberi felülvizsgálók a rutin kódellenőrzés során esetleg nem vesznek észre.

Az XRPL Labs elismerte, hogy az incidens folyamatos fejlesztéseket fog eredményezni a kódfelülvizsgálati folyamataikban. Egy több tízmilliárdos értékű ökoszisztéma számára ez nem opcionális. Ez a túlélés.

Források:

• Cointelegraph A Cantina biztonsági mérnöke és az Apex mesterséges intelligencia eszköze által végzett felfedezésről szóló beszámoló, idézetekkel Hari Mulackal vezérigazgatótól
• XRPL Labs blog Hivatalos sebezhetőségi jelentés technikai részletekkel, javítási ütemtervvel és validátori ajánlásokkal