XRP ağında trilyonluk açık kapatıldı

Yayımlanan güvenlik raporuna göre sorun, 22 Eylül'de geliştiricilere bildirildi ve 25 Eylül'de çıkarılan xrpld 3.4.1 sürümüyle giderildi. RippleX ekibi, hatayı yerel test ortamında yeniden üreterek kurallara aykırı biçimde oluşturulan XRP'nin başka bir ödemede kullanılabildiğini doğruladı. Bunun üzerine açığın önem derecesi kritik seviyeye yükseltildi.

TEK İŞLEMLE TRİLYONLARCA XRP ÜRETİLEBİLİRDİ

Güvenlik şirketi Veria Labs'ın kurucu ortağı Cayden Liao, yapay zeka aracının açığı bulduğunu ve yerel ağda çalışan bir deneme hazırladığını belirtti. Liao'nun hesabına göre hata, tek işlemle yaklaşık 18 trilyon XRP oluşturulmasına imkân verebilirdi. Bu miktar, gerçekleşmiş bir üretimi veya yatırımcı kaybını ifade etmiyor.

Sorun, ağın ödeme tutarlarını toplarken kullandığı hesaplama yönteminden kaynaklandı. Belirli koşullarda toplam tutar sistemin sayısal sınırını aştığında çok daha küçük bir değer olarak okunabiliyordu. Böylece alıcıdan düşülen tutarla diğer hesaplara eklenen XRP arasında fark oluşabiliyordu.

Yeni XRP oluşmasını engellemesi gereken güvenlik kontrolü de aynı hesaplama hatasından etkilendiği için sorunu yakalayamıyordu. Resmî rapora göre açık, günlük ödemeler sırasında tesadüfen ortaya çıkabilecek nitelikte değildi. Özel olarak hazırlanmış işlemler gerektiriyordu.

İnceleme, hatanın 2015'te yazılan ödeme motoruna kadar uzandığını gösterdi. Liao, bulgu için Veria'ya programın en yüksek ödülü olan 250 bin doların verildiğini açıkladı.

DÜZELTME İÇİN İKİ HAFTALIK SÜRE BEKLENMEDİ

XRP Ledger'da işlem kurallarını değiştiren güncellemeler normalde güvenilen doğrulayıcıların yüzde 80'inden fazlasının desteğini iki hafta boyunca korumak zorunda. Bu düzeltme ise sunucular yeni sürüme geçtiği anda devreye girdi.

Geliştiriciler, olağan sürecin izlenmesi halinde açık kaynak kodundan hatanın yerinin anlaşılabileceğini ve düzeltme etkinleşene kadar saldırı riski doğacağını belirtti. Varsayılan güvenilir doğrulayıcı listesindeki sunucuların yüzde 80'inden fazlası, yeni sürümün yayımlandığı gün güncellendi.

Raporda ayrı bir sorun olarak ele alınan toplu işlem özelliğindeki hata da giderildi. Bu ikinci açık, farklı yazılım sürümlerinin aynı işlemin geçerliliği konusunda anlaşamamasına ve ağın durmasına yol açabilirdi. Toplu işlem özelliği ile ona yönelik düzeltme 9 Ekim'de birlikte etkinleşti.

Ekip, bundan sonraki sürümlerde kapatıldığı belirtilen her güvenlik açığını yeniden sınayacak. Bir bulgu, ilk hatayı yeniden oluşturan test yeni sürümde başarıyla geçilmeden kapatılmış sayılmayacak.