Lỗi nghiêm trọng trong XRP Ledger trong việc sửa đổi hàng loạt có thể đã làm rò rỉ ví của người dùng - U.Today

Trong tháng này, một lỗi logic nghiêm trọng trong mã nguồn của XRP Ledger (XRPL) đã được tránh khỏi trong gang tấc, theo một bài đăng blog gần đây.

Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng có thể cho phép kẻ tấn công rút sạch ví người dùng mà không cần đến khóa riêng của họ.

Lỗi này, được phát hiện trong đề xuất “Batch” sửa đổi (XLS-56), đã được nhà nghiên cứu độc lập Pranamya Keshkamat và một công cụ an ninh AI tự động tên là Apex phát hiện từ đầu tháng này.

TIN NÓNG

Lỗ hổng nghiêm trọng trong XRP Ledger trong sửa đổi Batch có thể đã rút sạch ví người dùng

Đánh giá thị trường tiền điện tử: Sự co giật biến động của XRP là một công thức 2 đô la, liệu Dogecoin (DOGE) có bị loại bỏ trong tháng Hai không? Những đợt tăng giá của Shiba Inu (SHIB) vẫn chưa thể xảy ra

Sửa đổi này vẫn đang trong giai đoạn bỏ phiếu và chưa được kích hoạt trên mainnet của XRPL. Do đó, không có quỹ người dùng nào bị rủi ro hoặc mất mát.

Giải thích về lỗ hổng

Sửa đổi Batch cho phép nhóm nhiều giao dịch “bên trong” lại với nhau.

Các giao dịch bên trong này được cố ý để không ký để tiết kiệm năng lượng xử lý. Thay vào đó, quyền xác nhận được ủy quyền cho danh sách người ký của batch bên ngoài.

Một lỗi vòng lặp nghiêm trọng đã gây ra một lỗ hổng lớn trong quá trình gọi các người ký.

Nếu hệ thống gặp phải một người ký cho một tài khoản chưa tồn tại trên sổ cái, và khóa ký phù hợp với tài khoản mới đó, hệ thống ngay lập tức tuyên bố xác thực thành công. Sau đó, nó thoát khỏi vòng lặp sớm, tránh kiểm tra xác thực

Một chuỗi giao dịch nhóm cụ thể có thể đã bị kẻ tấn công lợi dụng để khai thác lỗ hổng đã đề cập.

Nếu sửa đổi Batch đã được kích hoạt trên mainnet trước khi phát hiện này, hệ sinh thái XRPL có thể đã gặp phải một cú sốc nghiêm trọng. Kẻ tấn công có thể đã đánh cắp quỹ, thay đổi trạng thái sổ cái, và làm mất ổn định hệ sinh thái.

Đầu tuần này, các nhà phát triển đã phát hành phần mềm máy chủ tham khảo Rippled 3.1.1. Bản vá khẩn cấp này đã đánh dấu rõ ràng sửa đổi Batch là không được hỗ trợ.

Một bản sửa lỗi toàn diện đã được phát triển, loại bỏ vòng lặp thoát sớm và thêm các biện pháp kiểm soát ủy quyền chặt chẽ hơn. Hiện tại, nó đang trải qua quá trình xem xét kỹ lưỡng bởi các đồng nghiệp.