شبکه ایکس‌آرپی نقص ۱۱ ساله را بست؛ باگی که می‌توانست توکن از هیچ بسازد

به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از بیت‌کوین‌نیوز، دفتر کل ایکس‌آرپی (XRPL) یک نقص امنیتی قدیمی را در موتور پرداخت خود برطرف کرد. این نقص به مهاجم اجازه می‌داد ایکس‌آرپیِ قابل‌خرج، خارج از سقف ثابت عرضه بسازد. گزارش رسمی که ۱۷ مهر منتشر شد، می‌گوید هیچ نشانه‌ای از سوءاستفاده در شبکه‌های عمومی وجود ندارد.

اهمیت این خبر در یک عدد است: سقف عرضه ایکس‌آرپی ۱۰۰ میلیارد واحد است. یعنی هیچ‌کس، حتی ریپل، نباید بتواند ۱ واحد بیش از این عدد بسازد. خلق پنهانی توکن مانند چاپ پول بدون پشتوانه است و سهم همه دارندگان را رقیق می‌کند. با این حال، قیمت ایکس‌آرپی با رشد ۰٫۳۸ درصدی در محدوده ۱٫۴۱ دلار قرار دارد و بازار واکنش محسوسی نشان نداده است.

نقص دقیقاً کجا بود؟

مشکل در کدی بود که پرداخت‌ها را در صرافی غیرمتمرکز داخلی شبکه تسویه می‌کند. این صرافی بازاری است که خریدار و فروشنده را بدون واسطه به هم می‌رساند. وقتی یک پرداخت تعداد زیادی سفارش را مصرف می‌کرد، موتور مبالغ را با محاسبات ۶۴ بیتیِ بدون کنترل جمع می‌زد.

اگر این جمع از حد مجاز بالاتر می‌رفت، عدد «سرریز» می‌کرد و به عددی کوچک برمی‌گشت. این پدیده شبیه کیلومترشمار قدیمی خودروست که پس از ۹۹٬۹۹۹ به صفر می‌رسد. در نتیجه، فروشندگان کل مبلغ را دریافت می‌کردند، اما از خریدار فقط همان عدد کوچک کسر می‌شد. مابه‌التفاوت، ایکس‌آرپی‌ای بود که پیش‌تر وجود نداشت.

شبکه یک کنترل ایمنی به نام «ناوردا» دارد که باید جلوی خلق ایکس‌آرپی را بگیرد. اما این کنترل هم از همان محاسبات استفاده می‌کرد و خطا را نمی‌دید. هزینه حمله فقط چند صد ایکس‌آرپی ذخیره قابل‌بازگشت و کارمزد عادی بود. مهاجم باید صدها سفارش با قیمت عمداً نادرست ثبت می‌کرد و یک پرداخت را از میان آن‌ها عبور می‌داد.

از گزارش تا وصله امنیتی

کیدن لیائو و شرکت ویریا ای‌آی این نقص را ۲۲ سپتامبر ۲۰۲۶ (۳۱ شهریور ۱۴۰۵) از طریق برنامه پاداش کشف باگ گزارش کردند. ریپل‌اکس، بازوی توسعه ریپل، شدت آن را «بحرانی» اعلام کرد. تا ۲۵ سپتامبر (۳ مهر)، بیش از ۸۰ درصد اعتبارسنج‌های فهرست پیش‌فرض نسخه اصلاحی ۳٫۴٫۱ را نصب کرده بودند. توسعه‌دهندگان کد منبع را پس از نصب منتشر کردند تا نقشه‌ای در اختیار مهاجمان قرار نگیرد.

همین نسخه یک نقص کم‌خطرتر در تراکنش‌های گروهی را هم برطرف کرد که اصلاحیه آن ۹ اکتبر (۱۷ مهر) روی شبکه اصلی فعال شد. این افشاگری در هفته‌ای پرحادثه برای امنیت کریپتو منتشر شد؛ زیان کاربران کیف‌پول‌های سخت‌افزاری لجر حدود ۹۳٫۴ میلیون دلار برآورد شده است. همزمان، شرکت اورنورث با پشتیبانی ریپل و حدود ۴۷۳ میلیون ایکس‌آرپی، معادل نزدیک به ۶۶۷ میلیون دلار، دوشنبه در نزدک عرضه می‌شود.