XRP Ledger, Önemli Bir Güvenlik Açığını Tam Zamanında Giderdi

Kritik bir güvenlik açığı XRP Ledger'ın Önerilen Toplu İşlem değişikliği, saldırganların özel anahtarlara ihtiyaç duymadan kurban hesaplarından yetkisiz işlemler gerçekleştirmesine olanak tanıyabilirdi. Hata, değişiklik ana ağda yayına girmeden önce 19 Şubat'ta tespit edildi, bu da hiçbir fonun tehlikeye atılmadığı anlamına geliyor. Cantina CEO'su Hari Mulackal, XRP'nin piyasa değerinin yaklaşık 80 milyar dolar olduğu göz önüne alındığında, bunun blockchain tarihindeki "dolar değeri bakımından en büyük güvenlik açığı" olma potansiyeline sahip olduğunu söyledi.

Sorun tam olarak neydi?

Güvenlik açığı, Rippled 3.1.0 sürümündeki toplu işlemler için imza doğrulama sürecinde bulunuyordu. Doğrulama döngüsündeki mantıksal bir hata, saldırganların istismar edebileceği erken çıkış durumuna yol açıyordu.

İşte pratikte nasıl işlediği:

• Saldırgan, kurbanın hesabına bağlı iç içe işlemler (ödemeler, hesap değişiklikleri) içeren bir toplu işlem oluşturabilir.
• Bu işlemde sahte bir imza kaydı kullanılacaktır.
• Hatalı doğrulama, var olmayan bir hesabı kontrol eder, erken çıkışa neden olur ve doğru doğrulamayı atlar.
• Yetkisiz işlemler daha sonra meşru işlemlermiş gibi onaylanmış sayılacaktır.

Etkinleştirildikten sonra istismar edilmesi durumunda, saldırganlar hesapları rezerv bakiyelerine kadar boşaltabilir, AccountSet veya TrustSet gibi işlemler aracılığıyla defter durumlarını değiştirebilir ve hatta hesapları tamamen silebilirlerdi.

Nasıl yakalandı?

Güvenlik mühendisi Pranamya Keshkamat CantinaBlok zinciri odaklı bir güvenlik firması olan [Şirket Adı], bu açığı firmanın Apex adlı yapay zeka destekli denetim aracıyla birlikte buldu. Keşif, Rippled kod tabanının statik analizi sırasında gerçekleşti.

Otonom bir yapay zeka güvenlik denetçisi olarak tanımlanan Apex, mantık hatasını tespit etti. Ardından Keshkamat ve ekibi, sorumlu bir açıklama raporu sundu. Ripple'ın mühendislik ekipleri, bir kavram kanıtı ve birim testleri kullanarak bunu hızla doğruladı.

Bu, yapay zeka destekli güvenliğin sadece vaat etmekle kalmayıp somut sonuçlar verdiği bir örnektir.

Yanıt ne kadar hızlı geldi?

Keşiften kamuoyuna açıklanmasına kadar tüm süreç bir hafta sürdü.

19 Şubat'ta, Cantina'nın hatayı bildirdiği gün, UNL doğrulayıcılarına Toplu İşlem değişikliğine "Hayır" oyu vermeleri tavsiye edildi. Birçoğu hemen veto uyguladı.

Umut Vaat Eden Projeleri Keşfedin...

Umut Vadeden Projeler...

(İlan)

Makale devam ediyor...

23 Şubat itibariyle Ripple, Rippled sürüm 3.1.1 ile acil bir yama yayınladı. Bu güncelleme, Batch değişikliğini desteklenmeyen olarak işaretliyor ve etkinleştirmeyi engellemek için fixBatchInnerSigs adlı geçici bir düzeltme getiriyor.

26 Şubat'ta XRPL Laboratuvarları yayınlanan Güvenlik açıklarına ilişkin tüm raporu kamuoyuna açıklayın.

Sonraki Süreç Nedir?

Batch değişikliği ölmedi. XRPL geliştirme ekibi, BatchV1_1 adlı bir yedek sürüm üzerinde çalışıyor. Güncellenmiş sürüm, erken çıkış koşullarını kaldırıyor, yetkilendirme korumaları ekliyor ve genel olarak imzalama kontrollerini sıkılaştırıyor. Henüz belirlenmiş bir yayın tarihi yok ve kod hala inceleme aşamasında.

Doğrulayıcıların Rippled 3.1.1 sürümüne derhal yükseltmeleri gerekiyor. Hata hiçbir zaman aktif hale gelmediği için normal kullanıcıların herhangi bir işlem yapmasına gerek yok, ancak BatchV1_1 güncellemeleri için resmi XRPL kanallarını takip etmek iyi bir fikir.

Bu Neden Önemli?

Bu, tüm sektörün dikkatini çekmesi gereken kıl payı atlatılan olaylardan biri. Hata, ana ağ aktivasyonu için aktif olarak oylama yapılan kodda mevcuttu. Zamanlama birkaç gün bile farklı olsaydı, sonuç çok farklı olabilirdi.

Bir yapay zekâ aracının bu hatayı yakalamada merkezi bir rol oynaması önemli. Üçüncü taraf denetimleri kriptografide her zaman önemli olmuştur, ancak yapay zekâ destekli denetimler, insan inceleyicilerin rutin kod incelemesi sırasında gözden kaçırabileceği şeyleri yakalayabildiklerini kanıtlıyor.

XRPL Labs, bu olayın kod inceleme süreçlerinde devam eden iyileştirmeleri tetikleyeceğini kabul etti. On milyarlarca dolarlık değeri yöneten bir ekosistem için bu isteğe bağlı değil, hayatta kalmanın şartı.

kaynaklar:

• Cointelegraph Cantina'nın güvenlik mühendisi ve yapay zeka aracı Apex tarafından yapılan keşfe ilişkin haberde, CEO Hari Mulackal'ın açıklamalarına da yer verildi.
• XRPL Laboratuvarları Blogu Teknik detayları, çözüm zaman çizelgesini ve doğrulayıcı önerilerini içeren resmi güvenlik açığı bildirim raporu.