באג שיכול היה ליצור יותר מ-18 טריליון XRP תוקן בהליך חירום, והוויכוח על הביזור התלקח
סוכן AI של Veria Labs מצא בקוד של XRP Ledger פרצה שאפשרה ליצור בעסקה אחת יותר מ-18 טריליון XRP. התיקון המהיר הצית ויכוח על ביזור, והחוקרים קיבלו 250 אלף דולר.
סוכן בינה מלאכותית של חברת האבטחה Veria Labs מצא בקוד של XRP Ledger פרצה שהייתה מאפשרת, בעסקה אחת, ליצור יותר מ-18 טריליון XRP יש מאין. לפי Cayden Liao, ממייסדי החברה, זו כמות גדולה פי 184 מכל ההיצע של המטבע. הבאג ישב בקוד מאז 2015 ותוקן ב-25 בספטמבר בהליך חירום שעקף את הצבעת המאמתים הרגילה. מאז מתנהל סביבו ויכוח חריף על השאלה אם רשת שמציגה את עצמה כמבוזרת לחלוטין יכולה להפיץ תיקון כזה בלי לכפות אותו על מי שמפעיל אותה. החוקרים קיבלו מענק באגים (bug bounty, תשלום למי שמדווח על חולשה במקום לנצל אותה) של 250 אלף דולר.
שני באגים קלים שיחד מדפיסים כסף
לפי Liao, הסוכן של Veria Labs סרק את rippled, התוכנה שמריצה את הבלוקצ'יין של XRP, ומצא שתי חולשות בחומרה נמוכה. הסוכן הבין שאם משרשרים אותן, מקבלים פרצה בסדר גודל אחר. "אנחנו חושדים שאחת הסיבות שאיש לא תפס את החולשה היא שהיא מחברת שני באגים שבנפרד היו בחומרה נמוכה", כתב.
הליבה הטכנית היא הצפה של מספר שלם (integer overflow) במנוע התשלומים. יתרות XRP נשמרות כמספרים שלמים של 64 ביט עם ערך מקסימלי קבוע. כשסכום עבר את התקרה, החישוב התגלגל חזרה למספר קטן במקום להיכשל. כדי להבין את ההיגיון, דמיינו מונה שהתקרה שלו היא 1,000 ואחריה הוא מתחיל לספור מאפס. שתי הצעות מכירה, אחת על 600 יחידות ואחת על 700, מסתכמות ב-1,300, אבל המונה רושם 300. המוכרים מזוכים במלוא 1,300 היחידות, הקונה מחויב ב-300 בלבד, ו-1,000 יחידות נוצרות יש מאין.
לפי דוח החשיפה של הפרויקט, תוקף היה צריך לפתוח מאות הצעות בתמחור מיוחד, שכל אחת מהן מבקשת כמות עצומה של XRP, ואז לשלוח תשלום אחד שצורך את כולן. ההפרש היה הופך ל-XRP חדש שאפשר להוציא. מסחר רגיל לא יכול היה להפעיל את התרחיש, והמפתחים מסרו שלא מצאו עדות לניצול שלו באף רשת ציבורית.
שלושה ימים מהדיווח ועד התיקון
| מועד | אירוע |
|---|---|
| 2015 | הבאג קיים במנוע התשלומים של XRP Ledger |
| 22 בספטמבר | Veria Labs מדווחת על החולשה |
| 25 בספטמבר | שחרור תיקון שנכנס לתוקף מיד בכל שרת שהתקין אותו |
| מאוחר יותר | גרסה 3.4.1 הופכת לחובה בהצבעה רגילה, ביותר מ-80% תמיכה לאורך שבועיים |
| יום חמישי | ג'סטין בונס תוקף את טענת הביזור |
| יום ראשון | מפתחי XRPL מפרסמים תגובה ברשת X |
שינויים בפרוטוקול של XRP Ledger עוברים בדרך כלל במנגנון amendments (תיקונים לפרוטוקול שמאושרים בהצבעה): הצעת שינוי צריכה לזכות בתמיכה של יותר מ-80% מהמאמתים במשך שבועיים לפני שהיא נכנסת לתוקף. במקרה של חולשה ביטחונית, פרסום כזה פירושו לחשוף לתוקפים את מיקום הפרצה לפני שנסגרה. "בהצבעה רגילה, התיקון היה גלוי לציבור במשך שבועות לפני שנכנס לתוקף, וזה היה מסכן את אבטחת הרשת", כתבו המפתחים. לדבריהם, זו העקיפה המכוונת הראשונה של התהליך מאז שהוכנס לפני יותר מעשר שנים.
מפעילי המאמתים: תיאום אינו שליטה
ג'סטין בונס, מייסד Cyber Capital, טען ששיווק XRP למשקיעים קטנים כמטבע מבוזר הוא "הונאה גלויה". לדבריו, גרסת החירום הופצה כקבצי הרצה בלבד, קוד המקור נשמר לזמן מה מחוץ להישג יד, ומפעילי השרתים הופעלו בלחץ לשדרג. הטענה נוגעת בנקודה רגישה: ההגדרה של XRP Ledger כרשת מבוזרת לחלוטין שימשה טיעון מרכזי בוויכוח על כך ש-XRP אינו נייר ערך.
קרן XRP Ledger השיבה שההחלטה לעקוף את ההליך התקבלה במשותף על ידי הקרן, RippleX, מפתחי הליבה והמאמתים, אחרי הערכת חומרת הבאג. "אף גורם יחיד לא יכול היה להחליט לבד. כל מאמת ומפעיל צומת בוחר איזו תוכנה להריץ", מסרה. מפעיל המאמתים העצמאי XRP Kuwait הוסיף ש"תיאום אינו שליטה", ושמפעילים עצמאיים יכולים להעריך מצב, לדבר זה עם זה ולהגיע לאותה מסקנה בלי לוותר על עצמאותם.
המחלוקת העובדתית בין הצדדים צרה יותר מהטון שלה. לפי הקרן, גרסה 3.4.1 הפכה לחובה רק אחרי הצבעה רגילה. לפי בונס, בתקופה שאחרי שחרור התיקון מי שהתקין אותו נאלץ לסמוך על קבצים בלי אפשרות לבדוק את קוד המקור. המבקרים מצביעים על כך שההחלטה לפעול מהר התקבלה בידי קבוצה מוגדרת של גורמים, והמאמתים משיבים שכל אחד מהם בחר בעצמו להתקין.
250 אלף דולר מול 94 מיליארד
Liao העריך שהפרצה העמידה בסיכון את כל שווי השוק של XRP, כ-94 מיליארד דולר, "יותר מפי 60 מהפריצה הגדולה ביותר שתועדה בקריפטו", כלשונו. המענק עומד אפוא על כ-0.00027% מהסכום הזה, כלומר כ-2,660 דולר על כל מיליארד דולר שהיה בסכנה. המספרים של החוקרים מתיישבים זה עם זה: 18 טריליון חלקי 184 נותן כ-97.8 מיליארד יחידות, בסביבת ההיצע הכולל של המטבע.
הממצא הגיע מסוכן AI, וזה מוסיף משקל לפער. באותו שבוע ויטליק בוטרין גיבה את אזהרת החוקר ג'סטין דרייק שמתמטיקה מואצת בבינה מלאכותית עלולה לערער את הקריפטוגרפיה של רשתות הבלוקצ'יין עוד לפני מחשבים קוונטיים. אם כלים כאלה זמינים גם לתוקפים, תגמול של פחות מאלפית האחוז מהנזק הפוטנציאלי צריך להתחרות בתמריץ לנצל את הפרצה. בשוק עצמו, XRP ירד בשבוע האחרון ב-7% ל-1.40 דולר, לעומת ירידה של 2.8% בביטקוין ל-83,435 דולר, אף שהמקורות לא קושרים את הירידה לפרשה.
מחזיקי XRP בישראל: מה לבדוק אחרי הפרשה
אם אתם מחזיקים XRP בבורסה או בארנק, המפתחים מסרו שלא נמצאה עדות לניצול הפרצה באף רשת ציבורית. מי שמריץ צומת או תוכנה שמתחברת ישירות לרשת צריך לוודא שהוא על גרסה מעודכנת. ברמת ההשקעה, כדאי לבדוק בכל אלטקוין שאתם מחזיקים מי מחליט על שינויים בפרוטוקול ואיך מתנהלים כשמתגלה חולשה דחופה.
קרנות המחקות שנסחרות בישראל עוקבות אחרי מחיר הביטקוין, כך שהן לא נותנות חשיפה ל-XRP. מי שמחזיק XRP ישירות ומוכר אותו חייב לדווח לרשות המסים בטופס 1399 בתוך 30 יום, ומשלם מס רווח הון של 25%. הפסד ממומש יכול לקזז רווחי הון מאותה שנה, כולל מניירות ערך, והפסד שלא נוצל עובר לשנים הבאות. הפירוט המלא נמצא במדריך המס על קריפטו בישראל.
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
