XRP Ledger corrige falha de uma década que poderia ter criado trilhões de XRP

Desenvolvedores do XRP Ledger disseram na sexta-feira que uma falha corrigida no mecanismo de pagamentos da rede poderia ter permitido que um invasor criasse XRP do nada. Um relatório de divulgação disse que a vulnerabilidade, classificada como crítica, estava no código desde 2015. O relatório disse que não havia evidências de que o problema tivesse sido explorado em qualquer rede pública.

A falha afetava a forma como o mecanismo de pagamentos soma uma operação que preenche várias ofertas do livro de ordens de uma só vez. As somas não tinham uma verificação de estouro, então um total suficientemente grande voltaria a um número pequeno. Segundo o relatório de divulgação, um invasor poderia ter criado algumas centenas de contas oferecendo frações minúsculas de tokens por quantias enormes de XRP. O invasor poderia então concluir todas as vendas com um único pagamento, segundo o relatório. A carteira de cada vendedor receberia o pagamento integral, enquanto a carteira do comprador seria debitada em apenas algumas centenas de drops, mais a tarifa. A verificação da rede contra a criação de novos XRP tinha um problema semelhante na soma dos saldos e, portanto, não impediria a emissão. O relatório disse que o ataque não poderia ocorrer por acidente, pois exigia centenas de ofertas com preços irreais e um pagamento construído especificamente para esse fim.

Cayden Liao, cofundador de segurança da Veria Labs, disse no sábado que o agente de IA da empresa encontrou a falha e criou uma exploração funcional. Liao calculou que uma única transação de exploração poderia ter criado cerca de 18 trilhões de XRP, ou 184 vezes a oferta total do token. A oferta de XRP foi limitada a 100 bilhões de unidades no lançamento e diminui ligeiramente à medida que as tarifas de transação são queimadas. Liao suspeitou que a vulnerabilidade não foi detectada porque a exploração combinava duas falhas que, isoladamente, teriam baixa gravidade. Liao disse que a Ripple pagou à Veria a recompensa máxima de US$ 250.000 prevista pelo programa. Segundo Liao, até onde a Veria sabe, essa foi a maior recompensa já paga por uma vulnerabilidade descoberta inteiramente por um agente de IA.

A Veria relatou a falha em 22 de setembro. A RippleX lançou uma correção na versão 3.4.1 do xrpld três dias depois. O relatório de divulgação disse que mais de 80% dos validadores da Lista Única de Nós (Unique Node List) padrão já executavam a atualização naquele dia. Mudanças nas regras do XRP Ledger normalmente exigem o apoio de mais de 80% dos validadores confiáveis da rede durante duas semanas, por meio de um processo de emendas. No entanto, essa correção entrou em vigor à medida que cada servidor era atualizado. O relatório disse que essa abordagem foi uma novidade em mais de 10 anos de emendas. Uma versão normal de código aberto teria exposto a falha a invasores por semanas antes de a correção entrar em vigor, segundo o relatório.

A versão também corrigiu uma falha separada no Batch, um recurso que ainda não havia sido lançado quando o problema foi encontrado. O relatório de divulgação disse que a falha no Batch poderia paralisar a rede. Tanto o Batch quanto a correção da falha foram ativados na sexta-feira. Servidores que executam versões mais antigas não podem mais permanecer sincronizados. Um possível invasor que explorasse a falha no Batch não obteria nada na rede, segundo o relatório. O possível ganho seria um registro permanentemente malformado e a oportunidade de interromper indexadores, exploradores e kits de desenvolvimento de software fora da cadeia.

O código-fonte da versão 3.4.1 do xrpld foi publicado cerca de duas semanas depois dos arquivos binários. O fundador da Cyber Capital, Justin Bons, disse na quinta-feira que o XRP vinha usando código fechado nas duas semanas anteriores. A engenheira da RippleX Mayukha Vadari respondeu no sábado que a IA havia mudado a situação. Vadari disse que uma correção para uma falha crítica em uma versão pública de rotina seria identificada e submetida a engenharia reversa imediatamente. O chefe de engenharia da RippleX, J. Ayo Akinyele, disse no sábado que a equipe ampliaria a busca por falhas com auxílio de IA e a verificação formal. Akinyele disse que a IA estava mudando fundamentalmente a velocidade com que vulnerabilidades poderiam ser descobertas.