Een autonome AI-beveiligingstool heeft een kwetsbaarheid in het XRP Ledger aan het licht gebracht, die, indien onopgemerkt gebleven, een aanvaller in staat had kunnen stellen om fondsen van elke account op het netwerk te stelen zonder ooit in aanraking te komen met de privé-sleutels van het slachtoffer. Deze ontdekking, gepubliceerd door XRPL Labs, betreft een fout in de handtekeningvalidatielogica van de Batch-amendement, een voorgenomen upgrade die de mogelijkheid biedt om meerdere transacties te bundelen en gezamenlijk uit te voeren.
Hoewel dit amendement zich nog in de stemfase bevond en niet op het hoofdnetwerk was geactiveerd, is het belangrijk te benadrukken dat er dus geen fondsen daadwerkelijk in gevaar waren. Echter, de exploitatiepaden die deze kwetsbaarheid boden, zijn van een ernstige aard voor blockchain-technologieën.
In eenvoudige bewoordingen stellen batchtransacties gebruikers in staat om verschillende operaties in één enkele transactie te groeperen. Omdat de afzonderlijke transacties binnen een batch geen eigen handtekeningen bevatten, is het systeem afhankelijk van een lijst van batchondertekenaars om te bevestigen dat elke betrokken account de bundel heeft goedgekeurd.
De validatiefunctie die deze ondertekenaars controleert, vertoonde een cruciale lusfout. Wanneer deze functie een ondertekenaar tegenkwam wiens account nog niet op het ledger bestond en wiens ondertekeningssleutel overeenkwam met hun eigen account — wat de normale situatie is voor een nieuw account — verklaarde het systeem onmiddellijk de hele controle als succesvol en stopte het met het controleren van de rest van de lijst.
Dit bood een aanvaller de mogelijkheid om een batch met drie transacties te construeren. De eerste maakte een nieuw account aan, dat de aanvaller controleerde; de tweede was een eenvoudige transactie van dat nieuwe account, waardoor het een vereiste ondertekenaar werd; de derde was een betaling van het account van het slachtoffer naar dat van de aanvaller.
Doordat het nieuwe account nog niet bestond tijdens de validatie, verliet de ondertekenaarcheck vroegtijdig na de eerste invoer en verifieerde het de tweede nooit. Resultaat: de fondsen van het slachtoffer werden overgemaakt zonder dat hun sleutels ooit betrokken waren.
Pranamya Keshkamat en de autonome beveiligingstool Apex van Cantina AI hebben deze fout ontdekt via statische analyse van de codebasis op 19 februari en hebben verantwoord openbaar gemaakt. Het engineeringteam van Ripple bevestigde het rapport dezelfde avond met een onafhankelijke proof-of-concept, wat getuigt van de snelheid en effectiviteit van de response.
Validatoren op de Unique Node List van het netwerk werden onmiddellijk geadviseerd om “Nee” te stemmen op het amendement. Op 23 februari werd een noodrelease, rippled 3.1.1, gepubliceerd, waarmee zowel de Batch- als de gerelateerde fixBatchInnerSigs-amendementen als niet-ondersteund werden gemarkeerd om te voorkomen dat deze ooit zouden worden geactiveerd. Er is inmiddels een gecorrigeerde vervangingen, BatchV1_1, in ontwikkeling, maar een releasedatum is nog niet vastgesteld.
Het feit dat deze kwetsbaarheid door een AI-tool werd ontdekt, is op zichzelf al opmerkelijk. XRPL Labs heeft aangekondigd AI-geassisteerde code-audit pipelines als standaard stap in hun beoordelingsproces toe te voegen, samen met uitgebreide statische analyse die specifiek is ontworpen om soortgelijke premature lusuitgangen op te sporen die deze bug veroorzaken.
Vraag & Antwoord
Waarom is deze kwetsbaarheid zo zorgwekkend voor de cryptocommunity?
Deze kwetsbaarheid is zorgwekkend omdat het de integriteit van het netwerk in gevaar kan brengen. Als aanvallers aan de haal kunnen gaan met fondsen zonder toegang tot privé-sleutels, ondermijnt dit het fundament van vertrouwen dat essentieel is voor blockchain-technologieën.
Wat betekent dit voor investeerders in XRP?
Voor investeerders in XRP is het een herinnering aan de risico’s die zijn verbonden aan het gebruik van blockchain-technologie. Het ligt in de aard van innovatieve systemen om kwetsbaarheden te bevatten; echter, de snelle reactie en oplossing van Ripple zouden investeerders een zekere geruststelling moeten bieden over de betrouwbaarheid van hun protocollen.
Hoopvolle vooruitzichten na deze ontdekking?
Zeker, de inzet van AI in code-audits kan leiden tot een verhoogde veiligheid binnen de industrie. Het implementeren van proactieve maatregelen zoals deze kan de kans op toekomstige kwetsbaarheden verkleinen, wat uiteindelijk de adoptie en het vertrouwen in cryptocurrencies bevordert.
