XRP Ledger виправляє основну вразливість якраз вчасно

Критичний недолік безпеки в Реєстри XRP Запропонована пакетна поправка могла б дозволити зловмисникам виконувати несанкціоновані транзакції з облікових записів жертв, і все це без потреби в закритих ключах. Помилку було виявлено 19 лютого до того, як поправка була опублікована в основній мережі, а це означало, що жодні кошти не були скомпрометовані. Генеральний директор Cantina Харі Мулаккал назвав її потенційним претендентом на «найбільший злом безпеки за вартістю в доларах» в історії блокчейну, враховуючи, що ринкова капіталізація XRP становить близько 80 мільярдів доларів.

Що саме було за помилка?

Уразливість знаходилася всередині процесу перевірки підпису для пакетних транзакцій у Rippled версії 3.1.0. Логічна помилка в циклі перевірки створювала умову передчасного виходу, яку могли використати зловмисники.

Ось як це працювало на практиці:

• Зловмисник може створити пакетну транзакцію, що містить внутрішні операції (платежі, модифікації облікового запису), пов'язані з обліковим записом жертви.
• У транзакції буде використано підроблений запис підписанта
• Неправильна перевірка перевіряла б неіснуючий обліковий запис, призводила б до передчасного виходу та пропускала б належну перевірку.
• Несанкціоновані операції потім здійснюватимуться так, ніби вони були законними

Якщо зловмисники використовували цю функцію після активації, вони могли б виснажити рахунки до рівня резервного балансу, змінити стан реєстру через такі транзакції, як AccountSet або TrustSet, і потенційно навіть повністю видалити облікові записи.

Як його спіймали?

Інженер охорони Пранамя Кешкамат с Кантіна, фірма з безпеки, що спеціалізується на блокчейні, виявила недолік у своєму інструменті аудиту на базі штучного інтелекту під назвою Apex. Виявлення було зроблено під час статичного аналізу кодової бази Rippled.

Apex, якого описують як автономного аудитора безпеки штучного інтелекту, позначив логічну помилку. Кешкамат та його команда потім подали звіт про відповідальне розкриття інформації. Інженерні команди Ripple швидко перевірили його за допомогою тестування концепції та модульних тестів.

Це конкретний випадок, коли безпека за допомогою штучного інтелекту дає результати, а не просто обіцяє їх.

Як швидко надійшла відповідь?

Від моменту виявлення до публічного розголошення весь процес зайняв один тиждень.

19 лютого, того ж дня, коли Кантіна повідомила про недолік, валідаторам UNL було рекомендовано проголосувати «проти» поправки Batch. Кілька з них негайно застосували вето.

Відкрийте для себе перспективні проекти...

Перспективні проекти...

(Реклама)

Стаття продовжується...

До 23 лютого Ripple випустила екстрене оновлення з Rippled версії 3.1.1. Це оновлення позначає поправку Batch як непідтримувану та вводить тимчасове виправлення під назвою fixBatchInnerSigs для блокування активації.

26 лютого, XRPL Labs опублікований оприлюднити повний звіт про розкриття вразливостей.

Що буде далі?

Поправка Batch не померла. Команда розробників XRPL працює над заміною під назвою BatchV1_1. Оновлена ​​версія видаляє умови дострокового виходу, додає захист авторизації та посилює перевірки підписів за всіма напрямками. Дата випуску ще не визначена, а код все ще перебуває на стадії перевірки.

Валідаторам слід негайно оновити Rippled до версії 3.1.1. Звичайним користувачам не потрібно вживати жодних заходів, оскільки недолік так і не був виявлений, але варто стежити за офіційними каналами XRPL щодо оновлень BatchV1_1.

Чому це має значення?

Це один із тих майже промахів, на який варто звернути увагу всієї галузі. Помилка існувала в коді, за який активно голосували для активації основної мережі. Якби час змінився хоча б на кілька днів, результат міг би виглядати зовсім інакше.

Той факт, що інструмент штучного інтелекту відіграв центральну роль у його виявленні, є важливим. Сторонні аудити завжди були важливими в криптовалюті, але аудити за допомогою штучного інтелекту доводять, що вони можуть виявляти речі, які люди-рецензенти можуть пропустити під час звичайної перевірки коду.

XRPL Labs визнали, що цей інцидент спонукатиме до постійного вдосконалення їхніх процесів перевірки коду. Для екосистеми, яка обробляє десятки мільярдів доларів, це не є необов'язковим. Це питання виживання.

джерела:

• Монеттелеграф Звіт про відкриття, зроблене інженером з безпеки та інструментом штучного інтелекту Apex компанії Cantina, включаючи цитати генерального директора Харі Мулакаля
• Блог XRPL Labs Офіційний звіт про розкриття вразливостей з технічними деталями, графіком усунення недоліків та рекомендаціями валідатора