Atakujący opróżnił most XRP Ledger obsługiwany przez Tx 9 sierpnia z prawie 200 000 XRP, o wartości około 202 000 USD, wykorzystując podatność w oprogramowaniu do wykrywania depozytów. Mosty międzyłańcuchowe — które blokują aktywa na jednym blockchainie i emitują odpowiadające im tokeny na innym — należą do najczęściej wykorzystywanych elementów zdecentralizowanych finansów, a podobne błędy w weryfikacji depozytów przyczyniały się w ostatnich latach do kilku głośnych włamań na mosty.

W poście na X opublikowanym we wtorek Tx — projekt obsługujący most łączący Tx Chain i XRP Ledger — wyjaśnił, że błąd oprogramowania powodował rejestrowanie transakcji jako depozytów XRP, nawet gdy do mostu nie dostarczono żadnych XRP.

„Atakujący wykorzystał logikę wykrywania depozytów mostu” — napisał Tx. „Oprogramowanie mostu błędnie rejestrowało transakcje, które w rzeczywistości nie dostarczyły żadnych XRP do mostu, jako depozyty, i na tej podstawie emitowało bridged XRP na tx chain”.

Tx to ekosystem blockchain warstwy 1 uruchomiony w marcu poprzez połączenie blockchaina Coreum z Sologenic, platformą tokenizacji i handlu opartą na XRP Ledger.

Wykorzystując fałszywe depozyty, atakujący wygenerował niepokryte XRP na Tx Chain, a następnie wymienił je przez most na prawdziwe XRP.

Tx podał, że przed wdrożeniem most przeszedł kilka audytów wewnętrznych i zewnętrznych, ale podatności nie wykryto.

Według analizy XRPL, niezależnej platformy do handlu i analityki XRP Ledger, most uwolnił około 199 916 XRP w 94 płatnościach w ciągu 97 minut. Każda płatność została zatwierdzona przez 17 z 28 relayerów mostu — programów monitorujących oba blockchainy i autoryzujących transfery.

XRPL podał, że relayerowie błędnie uznali transakcje wysłane przez atakującego do samego siebie za prawidłowe depozyty. Następnie atakujący wypłacił powstałe niepokryte salda standardowym procesem mostu.

Analiza odrzuciła też wcześniejsze twierdzenie, że XRP zostały wyprowadzone przez „rippling”, mechanizm XRPL przenoszący emitowane tokeny wzdłuż linii zaufania. Natychmiastowe XRP nie mogą być przesyłane przez rippling, jak zauważył XRPL.

„Powszechnie rozpowszechniane ostrzeżenie obwiniało «rippling» i domyślnie włączony flag konta. Ledger mówi co innego: każda z tych płatności była podpisana przez multisig samego mostu, a natywnego XRP w ogóle nie można ripple’ować” — napisał XRPL. „Patrząc razem na oba publiczne łańcuchy, prawdziwą przyczyną jest relayer, który pomylił własne płatności atakującego z depozytami”.

W osobnym poście na X Reza Bashash, partner w CoreNest Capital i współzałożyciel Sologenic oraz Coreum, powiedział, że atakujący zamienił skradzione XRP na Ethereum, przeniósł je na sieć Ethereum za pośrednictwem THORChain i wysłał całą kwotę do miksera kryptowalut Tornado Cash, co znacząco utrudniło śledzenie środków. Tornado Cash został objęty sankcjami przez Office of Foreign Assets Control przy amerykańskim Departamencie Skarbu w sierpniu 2022 roku, co oznacza, że osoby z USA zasadniczo nie mogą korzystać z tego protokołu.

Tx podał, że wstrzymał most, naprawił dotknięty kod, prześledził skradzione środki i złożył skargę do FBI’s Internet Crime Complaint Center. Projekt zatrudnił również specjalistów ds. analizy blockchain i współpracuje z partnerami ds. bezpieczeństwa.

„W miarę jak podejmujemy wszelkie możliwe kroki prawne, jednocześnie oceniamy wszystkie opcje naprawienia sytuacji dla poszkodowanych użytkowników” — powiedział Tx.

Most pozostaje offline do czasu przeglądu bezpieczeństwa. Tx poinformował posiadaczy, że nie muszą podejmować żadnych działań, i ostrzegł przed kontami lub stronami internetowymi twierdzącymi, że mogą odzyskać utracone środki.

Mimo incydentu cena XRP pozostała względnie stabilna i nadal oscyluje w pobliżu poziomu 1 USD, przy kapitalizacji rynkowej wynoszącej około 64 miliardy USD, po spadku o około 5,5% w ciągu ostatnich 30 dni.