به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از کوین‌دسک، یک نقص امنیتی در سامانه پرداخت دفتر کل ایکس‌آرپی می‌توانست به ساخت ایکس‌آرپی جدید بدون پرداخت هزینه منجر شود. این حفره احتمالاً از سال ۲۰۱۵ وجود داشته است. توسعه‌دهندگان آن را در نسخه ۳٫۴٫۱ نرم‌افزار xrpld در ۲۵ سپتامبر ۲۰۲۶ (۳ مهر ۱۴۰۵) برطرف کردند.
اهمیت این خبر به یک قاعده بنیادین برمی‌گردد. عرضه ایکس‌آرپی ثابت است و هیچ واحد تازه‌ای نباید به آن اضافه شود. این نقص می‌توانست همین قاعده را بشکند. اثرش برای دارندگان این رمزارز شبیه چاپ پول بدون پشتوانه بود که سهم هر واحد از کل بازار را کم می‌کند.
سقف ۱۰۰ میلیاردی چرا مهم است
همه ۱۰۰ میلیارد واحد ایکس‌آرپی هنگام راه‌اندازی شبکه در سال ۲۰۱۲ ساخته شد. نرم‌افزار شبکه طوری طراحی شده است که هیچ واحد دیگری به این عدد اضافه نشود. این سقف ثابت برای نهادهای مالی که از شبکه استفاده می‌کنند، یکی از پایه‌های اعتماد است.
بر اساس گزارش امنیتی منتشرشده در روز جمعه، مهاجم می‌توانست ایکس‌آرپی را از هیچ بسازد و در صرافی‌ها بفروشد. چنین اتفاقی عرضه واقعی بازار را بالا می‌برد. در نتیجه سقف عرضه‌ای که بخشی از ارزش این رمزارز بر آن تکیه دارد، عملاً بی‌اثر می‌شد.
حمله چگونه کار می‌کرد
کیدن لیائو، پژوهشگر امنیتی، به همراه شرکت وریا ای‌آی این نقص را پیدا کردند و ۲۱ سپتامبر ۲۰۲۶ (۳۱ شهریور ۱۴۰۵) آن را گزارش دادند. مهندسان رایپل‌ایکس، بازوی توسعه‌دهنده شرکت ریپل، حمله را روی یک سرور مستقل بازسازی کردند. سرور مستقل محیطی آزمایشی و جدا از شبکه اصلی است. آن‌ها تأیید کردند که ایکس‌آرپی ساخته‌شده در تراکنش بعدی قابل خرج‌کردن بود.
این حمله از یک خطای شمارشی در صرافی داخلی دفتر کل استفاده می‌کرد. در این صرافی، حساب‌ها پیشنهاد مبادله یک توکن با توکن دیگر را ثبت می‌کنند. مهاجم می‌توانست صدها حساب باز کند و از هر کدام پیشنهادی نامتعارف ثبت کند. نتیجه این بود که این حساب‌ها مقدار زیادی ایکس‌آرپی دریافت می‌کردند، در حالی که خریدار تقریباً هیچ هزینه‌ای نمی‌پرداخت.
رایپل‌ایکس اعلام کرد هیچ شواهدی از بهره‌برداری از این نقص در شبکه‌های عمومی پیدا نکرده است. فاصله میان گزارش نقص و انتشار نسخه اصلاحی تنها ۴ روز بود. با این حال، این حفره حدود ۱۱ سال در کد شبکه پنهان مانده بود.
نظرات کاربران