XRP Ledger поправя основна уязвимост точно навреме

Критичен пропуск в сигурността в XRP регистър Предложената поправка на Batch би могла да позволи на нападателите да извършват неоторизирани транзакции от акаунти на жертвите, без да се нуждаят от частни ключове. Грешката е била засечена на 19 февруари, преди поправката да бъде пусната в основната мрежа, което означава, че не са били компрометирани средства. Главният изпълнителен директор на Cantina, Хари Мулакал, я нарече потенциален претендент за „най-голямата хакерска атака за сигурност по доларова стойност“ в историята на блокчейн, като пазарната капитализация на XRP е около 80 милиарда долара.

Какво точно беше бъгът?

Уязвимостта се намираше в процеса на валидиране на подписа за пакетни транзакции в Rippled версия 3.1.0. Логическа грешка в цикъла на валидиране създаде условие за преждевременно излизане, което нападателите биха могли да използват.

Ето как работеше на практика:

• Нападателят може да създаде пакетна транзакция, съдържаща вътрешни операции (плащания, модификации на акаунти), свързани с акаунта на жертвата.
• Транзакцията ще използва фалшифициран запис на подписващия
• Неправилното валидиране би проверило несъществуващ акаунт, довело би до преждевременен изход и би пропуснало правилната проверка.
• Неоторизираните операции след това биха се извършвали, сякаш са легитимни

Ако бъдат използвани след активиране, нападателите биха могли да източат акаунтите до резервния им баланс, да променят състоянията на счетоводните книги чрез транзакции като AccountSet или TrustSet и потенциално дори да изтрият акаунти изцяло.

Как беше хванато?

Инженер по сигурността Пранамя Кешкамат от Кантина, фирма за сигурност, фокусирана върху блокчейн технологията, откри недостатъка заедно с инструмента за одит, задвижван от изкуствен интелект, наречен Apex. Откритието е дошло по време на статичен анализ на кодовата база на Rippled.

Apex, описан като автономен одитор за сигурност на изкуствен интелект, сигнализира за логическата грешка. Кешкамат и екипът след това представиха отчет за отговорно разкриване на информация. Инженерните екипи на Ripple го валидираха бързо, използвайки doping-of-concept и unit тестове.

Това е конкретен случай на сигурност, подпомагана от изкуствен интелект, която дава резултати, а не само ги обещава.

Колко бързо дойде отговорът?

От откриването до публичното оповестяване, целият процес отне една седмица.

На 19 февруари, същия ден, в който Кантина съобщи за недостатъка, валидаторите на UNL бяха посъветвани да гласуват с „Не“ за изменението на Batch. Няколко души веднага наложиха вето.

Открийте обещаващи проекти...

Перспективни проекти...

(Реклама)

Статията продължава...

До 23 февруари Ripple пусна аварийна корекция с Rippled версия 3.1.1. Тази актуализация маркира изменението Batch като неподдържано и въвежда временна корекция, наречена fixBatchInnerSigs, за блокиране на активирането.

На 26 февруари, XRPL Labs публикувани пълният доклад за разкриване на уязвимости публикуван.

Какво следва?

Изменението Batch не е отменено. Екипът за разработка на XRPL работи върху заместител, наречен BatchV1_1. Актуализираната версия премахва условията за ранно излизане, добавя защита от оторизация и затяга проверките за подписване във всички области. Все още няма определена дата на пускане и кодът все още е в процес на проверка.

Валидаторите трябва незабавно да обновят до Rippled 3.1.1. Редовните потребители не е необходимо да предприемат никакви действия, тъй като уязвимостта никога не е била пусната, но е добра идея да следят официалните XRPL канали за актуализации на BatchV1_1.

Защо това има значение?

Това е един от онези пропуски, които почти трябва да накарат цялата индустрия да обърне внимание. Грешката е съществувала в код, който активно е бил гласуван за активиране на основната мрежа. Ако времето беше различно дори с няколко дни, резултатът можеше да изглежда много различно.

Фактът, че инструмент с изкуствен интелект е изиграл централна роля в откриването му, е значителен. Одитите от трети страни винаги са били важни в криптовалутите, но одитите, подпомогнати от изкуствен интелект, доказват, че могат да открият неща, които човешките проверяващи биха могли да пропуснат по време на рутинния преглед на кода.

XRPL Labs призна, че инцидентът ще доведе до непрекъснати подобрения в процесите им на преглед на код. За екосистема, боравеща с десетки милиарди на стойност, това не е избор. Става въпрос за оцеляване.

Източници:

• Cointelegraph Доклад за откритието на инженера по сигурността и инструмента за изкуствен интелект Apex на Cantina, включително цитати от главния изпълнителен директор Хари Мулакал
• Блог на XRPL Labs Официален доклад за разкриване на уязвимости с технически подробности, график за отстраняване и препоръки от валидатора