Скрытая 10-летняя ошибка XRP могла позволить хакерам подделывать деньги

Крупная уязвимость, скрытая почти десятилетие, могла позволить хакерам создавать фальшивые монеты XRP из ничего. Хорошая новость: она теперь исправлена, и нет доказательств, что кто-то когда-либо её использовал.

Проблема была найдена в XRP Ledger (программной системе, которая записывает и обрабатывает транзакции XRP). Исследователь безопасности сообщил о ней в сентябре через программу вознаграждений за уязвимости (схема вознаграждений, которая платит людям за нахождение ошибок в программном обеспечении).

Что пошло не так? Ошибка была связана с так называемым переполнением целого числа — по сути, когда число становится слишком большим для обработки системой, оно «переворачивается» на маленькое число по ошибке. Вот как злоумышленник мог бы злоупотребить этим:

• Они могли бы сделать один большой платеж, используя сотни специально созданных ордеров на покупку/продажу одновременно.
• Общая сумма задолженности переполнялась и сбрасывалась почти до нуля.
• Система выплачивала продавцам в полном объеме, но взимала с покупателя почти ничего.
• Оставшаяся разница становилась новым, фальшивым XRP, который никогда не должен был существовать.

Еще хуже, в реестре есть проверка безопасности, призванная подтвердить, что новый XRP никогда не создается — но эта проверка использовала ту же самую сломанную математику, поэтому она не смогла выявить проблему.

Ключевые факты:

• Ошибка была в коде с 2015 года.
• Она осталась незамеченной, потому что ни один обычный платеж никогда не приближался к её активации.
• Исправление было выпущено 25 сентября в версии 3.4.1.
• Более 80% доверенных валидаторов сети (компьютеров, которые одобряют транзакции) использовали исправление в тот же день.

Разработчики быстро выпустили патч, пропустив обычный двухнедельный процесс голосования, потому что выпуск открытого исправления раскрыл бы ошибку и оставил её уязвимой для эксплуатации на несколько недель.

Это напоминает аналогичную панику по поводу подделки в Zcash в начале этого года, которая привела к падению цены этой монеты.

Тем временем, цена XRP снизилась. Токен торговался по $1.38 в понедельник — на 1.6% ниже за 24 часа и на 9.4% за последнюю неделю, что является худшим показателем среди основных криптовалют.

Вывод: серьезная ошибка была обнаружена и исправлена до того, как был нанесен какой-либо вред, что показывает, почему постоянное тестирование безопасности важно для криптосетей.

Это сгенерированное ИИ резюме. Прочитайте оригинальную статью на: https://decrypt.co/380693/xrp-ledger-payment-engine-counterfeiting-bug-hiding