Атакувальник вивів майже 200 000 токенів XRP із мосту Coreum за 97 хвилин 9 серпня, експлуатуючи пробіл у валідації в ПЗ ретранслятора, а не якусь слабкість у XRP Ledger.

Міст зупинив роботу, поки XRP сповзав нижче $1 на тлі ширшої ринкової обережності.

Що насправді пішло не так на мосту

Блокчейн-міст — це інфраструктура, що з'єднує дві окремі мережі. Це дозволяє користувачам переміщувати цінність між ланцюгами, які не можуть напряму взаємодіяти. Ретранслятори відстежують обидва боки та авторизують перекази.

Coreum Bridge дозволяє користувачам блокувати XRP на XRPL та отримувати еквівалентну мостову версію в блокчейні Coreum, яку вони можуть використовувати в застосунках Coreum та пізніше перемостити назад на XRPL.

Отже, як стався злом? Цифри розповідають точну історію. Рахунок мосту тримав приблизно 200 410 XRP до інциденту й почав вивільняти кошти о 19:16 UTC.

За 97 хвилин рахунок виконав 94 платежі на загальну суму 199 916,3 XRP на два щойно створені гаманці, залишивши всього 493,5 XRP.

Підписуйтесь на нас у X, щоб отримувати останні новини в міру їх появи.

Кожен переказ ніс дійсну авторизацію. Кворум із 17 із 28 ключів ретрансляторів підписував кожен вихідний платіж через процес мультипідпису. Ранні пояснення в соцмережах виявилися хибними. Попередження звинувачували риплінг та прапор DefaultRipple, хоча нативний XRP не може риплити, оскільки в нього немає емітента чи ліній довіри.

Фактична причина сиділа в коді. Ретранслятори відстежують транзакції XRP Ledger та подають атестації щоразу, коли виявляють платежі з memo-одержувачем Coreum.

Одна перевірка була відсутня повністю. ПЗ так і не перевіряло, що пунктом призначення платежу був сам міст, перш ніж зараховувати відповідний баланс. Це упущення відчинило двері.

Перекази між гаманцями, контрольованими атакувальником, трактувалися як справжні депозити, генеруючи кредити, які пізніше профінансували виведення реального XRP.

Чому XRP Ledger ніколи не був під загрозою

Виконання слідувало патерну. Невеликі зондувальні перекази подвоювалися в розмірі перед стійким потоком виплат у середньому приблизно по 1695 XRP кожні 50 секунд. Відмивання почалося негайно. Гаманці-одержувачі пересилали більшу частину коштів, ускладнюючи спроби відстежити, куди зрештою приземлилася виручка.

Важлива відмінність заслуговує на акцент. Жодні приватні ключі не були скомпрометовані, і процес мультипідпису функціонував рівно так, як задумано, — лише на хибних доказах.

Сам XRP Ledger залишився повністю безпечним. Інцидент не торкнувся жодного з його основних протоколів, механізмів консенсусу чи обробки нативних транзакцій. Coreum призупинив міст до ремонту.

Будь-який перезапуск вимагатиме перевірки адреси призначення — тієї перевірки, відсутність якої зробила можливою всю послідовність.

Офіційний розбір інциденту поки очікується. Поки він не з'явиться, повний хронометраж та план усунення залишаються неповними для зачеплених користувачів.

XRP торгувався нижче $1 11 серпня, знизившись приблизно на 3,30% за останні 24 години, за даними BeInCrypto.

Підписуйтесь на наш канал на YouTube, щоб дивитися, як лідери та журналісти діляться експертними думками.

Джерело: BeInCrypto