Perché un bug che avrebbe potuto minacciare il limite massimo di offerta di 100 miliardi di XRP è rimasto nascosto per anni

Un bug che avrebbe potuto permettere a un attaccante di creare nuovi XRP (XRP) dal nulla è rimasto nel XRP Ledger per più di un decennio senza che nessuno se ne accorgesse, poiché l’attività normale degli utenti non si è mai avvicinata a farlo scattare, secondo XRP Ledger Foundation.

Il bug di 11 anni era importante perché minacciava la regola fondamentale su cui si basano i detentori di XRP: che l'offerta totale non può mai superare i 100 miliardi di monete create al debutto della blockchain nel 2012. È stato scoperto il 22 settembre a cura del ricercatore Cayden Liao e Veria AI e riportato internamente.

Nessun danno è stato causato, secondo RippleX, che ha distribuito la correzione. Non è stato creato nuovo XRP e circa 99,986 miliardi di XRP rimangono in circolazione oggi, ha dichiarato la fondazione.

Il XRP Ledger (XRPL) è una blockchain layer-1 open-source e decentralizzata. Il suo token nativo, XRP, è stato progettato in modo che non possano mai essere coniati nuovi token. La moneta è principalmente utilizzata per pagare le commissioni di transazione e facilitare gli scambi di valuta tramite lo exchange decentralizzato (DEX) integrato nel ledger.

Tuttavia, il bug, ritenuto esistente sin dal 2015, forniva una soluzione alternativa, almeno in teoria.

Ecco come avrebbe potuto funzionare

Il bug derivava da una vulnerabilità nota come “overflow intero”, che, simile al contatore del punteggio di un vecchio gioco arcade, si azzera ogni volta che raggiunge il suo valore massimo.

Nel caso del XRP Ledger, la falla significava che una volta che la dimensione di una transazione superava il limite numerico massimo consentito dal sistema, il valore si azzerava tornando a un numero molto piccolo. Ciò bypassava i controlli standard sui fondi, accreditando ai venditori l'intero ammontare di XRP mentre addebitava agli acquirenti quasi nulla, creando di fatto dal nulla la differenza e gonfiando artificialmente la fornitura totale di XRP.

Un aggressore avrebbe potuto creare account fittizi per pubblicare vendite di token false per importi astronomici di XRP. Successivamente, agendo come acquirente, l’aggressore potrebbe aver pagato in XRP, acquistando tutti i token contemporaneamente. Il registro avrebbe accreditato i conti dei venditori con miliardi di XRP validi e, sopraffatto dalla straordinaria quantità di XRP, avrebbe registrato un costo totale per l’acquirente di solo una frazione di centesimo.

Bypassando i controlli standard sui fondi, il sistema creerebbe effettivamente dal nulla la differenza, permettendo all’attaccante di appropriarsi di miliardi di nuovi XRP da liquidare su exchange esterni.

Perché è passato inosservato?

Il bug è passato inosservato principalmente perché richiedeva una scala di azione massiccia per essere attivato, ha affermato la XRP Foundation in una spiegazione pubblicata lunedì.

“Nessun pagamento normale si avvicina minimamente a innescarlo. Sono state necessarie centinaia di operazioni costruite deliberatamente,” ha dichiarato.

Le protezioni intrinseche del registro non lo hanno rilevato nemmeno. Come riportato da CoinDesk la scorsa settimana, il controllo eseguito dopo ogni transazione per confermare che non sia apparso nuovo XRP si basava sullo stesso totale errato, quindi non ha rilevato nulla di insolito. Un limite separato su quanto XRP un singolo conto può ricevere non è stato nemmeno attivato, poiché l'attacco potenziale avrebbe distribuito l'XRP su centinaia di conti.

La fondazione ha osservato che l'intelligenza artificiale sta rendendo più veloce l'individuazione di tali vulnerabilità sia per "i cattivi che per i buoni". Per garantire la sicurezza in futuro, la fondazione prevede di applicare con vigore test avversariali basati sull'IA, implementare la verifica formale e rafforzare il proprio programma di ricompense per la segnalazione di bug.

“Ne sentirete parlare molto di più man mano che progrediremo,” ha dichiarato.