XRP Ledger ha corretto un bug decadale che poteva creare miliardi di dollari in XRP dal nulla
Punti chiave
- •La vulnerabilità, ritenuta risalente al 2015, è stata scoperta dal ricercatore Cayden Liao e da Veria AI e segnalata internamente il 22 settembre.
- •RippleX ha riprodotto l'attacco su un server standalone e confermato che l'XRP creato poteva essere speso, ma non ha trovato evidenza che il difetto sia mai stato sfruttato su una rete pubblica.
- •Una correzione è stata rilasciata in xrpld 3.4.1 il 25 settembre senza divulgazione pubblica iniziale e, poiché la patch risiede nel software server, la copertura sulla rete dipende dall'adozione dell'aggiornamento da parte degli operatori.
- •L'exploit sfruttava un errore di conteggio nello scambio integrato del ledger, in cui centinaia di account con piccole offerte potevano essere pagati per intero con un singolo pagamento mentre l'acquirente veniva addebitato di quasi nulla, lasciando all'attaccante XRP appena coniato.
- •Le salvaguardie esistenti, tra cui un controllo dell'offerta post-transazione e un limite di ricezione per account, non avrebbero individuato l'attacco, che richiedeva solo qualche centinaio di XRP più le commissioni ordinarie per essere predisposto.
Una vulnerabilità nel sistema di pagamenti dell'XRP Ledger avrebbe potuto consentire a un attaccante di creare grandi quantità di nuovo XRP senza pagarlo, violando la regola dell'offerta fissa del token, secondo un rapporto di sicurezza pubblicato venerdì.
Il bug, ritenuto risalente al 2015, è stato scoperto dal ricercatore Cayden Liao e da Veria AI e segnalato internamente il 22 settembre. Gli ingegneri di RippleX, il ramo di sviluppo di Ripple, hanno riprodotto l'attacco su un server standalone — un ambiente di test isolato — e confermato che il nuovo XRP creato poteva essere speso in una transazione successiva.
RippleX ha dichiarato di non aver trovato evidenza che la vulnerabilità sia mai stata sfruttata su una rete pubblica. L'azienda ha rilasciato una correzione in xrpld 3.4.1, il software server del ledger, il 25 settembre, senza divulgare pubblicamente cosa sistemasse la release — una sequenza comune nella divulgazione coordinata delle vulnerabilità, che dà agli operatori il tempo di aggiornarsi prima che i dettagli tecnici che potrebbero abilitare attacchi diventino pubblici. I dettagli sono stati poi illustrati nel rapporto ufficiale di divulgazione della vulnerabilità del team. Poiché la patch risiede nel software server stesso, la sua copertura sulla rete dipende dall'adozione della release aggiornata da parte degli operatori.
I ricercatori hanno dimostrato come un singolo pagamento potesse creare XRP spendibile senza che il mittente lo finanziasse, provocando il rilascio urgente del software. Se non fosse stato corretto, il difetto avrebbe potuto violare l'offerta fissa di 100 miliardi di token della criptovaluta.
Una minaccia diretta al tetto dell'offerta
Tutti i 100 miliardi di XRP sono stati creati al lancio del ledger nel 2012, e il suo software è progettato in modo che non se ne possano mai aggiungere altri. Poiché quella scarsità è garantita interamente dal codice e non da alcun soggetto emittente, un bug capace di coniare token avrebbe colpito la garanzia più fondamentale del ledger. La vulnerabilità di sicurezza, tuttavia, avrebbe potuto consentire a un attaccante di creare XRP dal nulla e venderlo sugli exchange, minando il tetto rigido dell'offerta su cui le istituzioni che costruiscono sulla rete fanno affidamento.
Come funzionava l'attacco
L'exploit mirava allo scambio integrato del ledger, dove gli account pubblicano offerte per scambiare un token con un altro.
In teoria, un attaccante poteva aprire centinaia di account, fare in modo che ciascuno offrisse una minuscola quantità di un token in cambio di una quantità insolitamente grande di XRP, quindi inviare un singolo pagamento che acquistava tutte le offerte in una volta. Il totale di XRP dovuto su quelle offerte combinate sarebbe stato troppo grande perché il software potesse contarle correttamente. Di conseguenza, gli account di vendita dell'attaccante sarebbero stati pagati per intero mentre l'account acquirente veniva addebitato di quasi nulla — lasciando all'attaccante XRP che non era mai esistito.
In effetti, la vulnerabilità era un errore di conteggio nello scambio integrato, che avrebbe potuto permettere a centinaia di account di ricevere grandi quantità di XRP mentre l'acquirente pagava quasi nulla.
Perché le salvaguardie esistenti non l'hanno individuato
L'XRP Ledger esegue un controllo dopo ogni transazione per assicurarsi che non sia comparso nuovo XRP, ma quel controllo si sarebbe basato sul totale conteggiato erroneamente e avrebbe mancato la discrepanza. Un limite separato su quanto XRP un singolo account può ricevere non si sarebbe attivato nemmeno questo, perché l'attacco distribuiva i nuovi token su centinaia di account.
Il metodo dei ricercatori richiedeva solo qualche centinaio di XRP per aprire quegli account — la maggior parte dei quali è stata poi recuperata — oltre alle ordinarie commissioni di transazione.
Parte di uno schema più ampio
L'incidente si aggiunge a una serie di vulnerabilità di sicurezza crittografiche nascoste da tempo portate alla luce con l'aiuto dell'IA da luglio, tra cui il bug del wallet Coldcard alla base del furto di almeno 1.367 BTC e le vulnerabilità che hanno costretto Core Lightning a chiedere agli operatori di nodi bitcoin di disconnettersi.
