Kripto para dünyasında işlem gören XRP ağında, trilyonlarca XRP'nin üretilmesine olanak tanıyabilecek kritik bir güvenlik açığı tespit edildi. Yayımlanan bir güvenlik raporuna göre, sorunun 22 Eylül'de geliştiricilere bildirildiği ve 25 Eylül'de kullanıma sunulan xrpld 3.4.1 sürümü ile giderildiği belirtildi.
RippleX ekibi tarafından yapılan incelemelerde, geliştirilen yapay zeka aracının açığı yerel test ortamında yeniden üreterek, kurallara aykırı biçimde oluşturulan XRP'nin başka bir ödemede kullanılabildiği doğrulandı. Bu durum üzerine açığın önem derecesi kritik seviyeye yükseltildi. Güvenlik şirketi Veria Labs'ın kurucu ortağı Cayden Liao, yapay zeka aracının bu açığı bulduğunu ve yerel ağda çalışan bir deneme hazırladığını ifade etti. Liao'nun analizlerine göre, bu hata tek bir işlemle yaklaşık 18 trilyon XRP'nin üretilmesine imkan verebilirdi. Ancak bu miktar, gerçekleşmiş bir üretimi veya yatırımcı kaybını temsil etmiyor.
Sorunun kaynağının, ağın ödeme tutarlarını hesaplarken kullandığı yöntem olduğu anlaşıldı. Belirli koşullar altında toplam tutarın sistemin sayısal sınırını aşması durumunda, tutarın çok daha küçük bir değer olarak okunabildiği ve bu durumun alıcıdan düşülen tutarla diğer hesaplara eklenen XRP arasında bir fark oluşturabildiği belirtildi. Yeni XRP oluşmasını engellemesi gereken güvenlik kontrol mekanizmasının da aynı hesaplama hatasından etkilenmesi nedeniyle sorunu tespit edemediği ifade edildi.
Resmi rapora göre, söz konusu açık günlük ödemeler sırasında tesadüfen ortaya çıkabilecek bir nitelik taşımıyordu ve özel olarak hazırlanmış işlemler gerektiriyordu. Yapılan incelemeler, hatanın 2015 yılında yazılan ödeme motoruna kadar uzandığını ortaya koydu. Cayden Liao, bu bulgu için Veria'ya programın en yüksek ödülü olan 250 bin doların verildiğini açıkladı.
Düzeltme İçin Olağan Süreç İzlenmedi
XRP Ledger'da işlem kurallarını değiştiren güncellemelerin normalde, güvenilen doğrulayıcıların yüzde 80'inden fazlasının desteğini iki hafta boyunca sağlaması gerekiyor. Ancak bu kritik düzeltme, sunucuların yeni sürüme geçmesiyle birlikte derhal devreye girdi. Geliştiriciler, olağan sürecin izlenmesi halinde, açık kaynak kodundan hatanın yerinin anlaşılabileceğini ve düzeltme etkinleşene kadar saldırı riskinin devam edeceğini belirtti. Bu nedenle, varsayılan güvenilir doğrulayıcı listesindeki sunucuların yüzde 80'inden fazlası, yeni sürümün yayımlandığı gün güncellendi.
Raporda ayrıca, toplu işlem özelliğindeki ayrı bir hata da giderildi. Bu ikinci açık, farklı yazılım sürümlerinin aynı işlemin geçerliliği konusunda anlaşamamasına ve ağın durmasına yol açabilirdi. Toplu işlem özelliği ve buna yönelik düzeltme, 9 Ekim tarihinde birlikte etkinleştirildi. Ekip, bundan sonraki sürümlerde kapatıldığı belirtilen her güvenlik açığını yeniden test edeceğini duyurdu. Bir bulgunun, ilk hatayı yeniden oluşturan testin yeni sürümde başarıyla geçilmeden kapatılmış sayılmayacağı vurgulandı.
