Sinabi ng Tx noong Agosto 12 na ang kanilang XRPL bridge ay na-exploit noong Agosto 9 matapos pagsamantalahan ng isang umaatake ang maling lohika sa pagtuklas ng deposito, na umubos ng XRP mula sa reserba ng bridge.
Inilahad ng technical lead na si Reza Bashash ang ninakaw na halaga na 198,715.88 XRP. Nanatiling nakahinto ang bridge habang sinusuri ng team ang mga opsyon sa pagbawi at pinapatibay ang apektadong software, ayon sa kanilang pinakabagong post.
Sinabi ng kumpanya na ang depekto ay naging sanhi upang maitala bilang mga deposito ang mga transaksyon na hindi naman naghatid ng XRP sa bridge. Pinayagan nito na ma-mint ang unbacked bridged XRP sa tx chain. Pagkatapos ay inalis ng umaatake ang totoong XRP mula sa reserve wallet laban sa mga balanse na iyon.
Sinabi ng Tx na ang kahinaan ay nasa software ng bridge at hindi sa XRP Ledger mismo. Inilarawan ni Bashash ang isyu bilang isang bug sa lohika ng relayer ng XRPL na kinasasangkutan ng cross currency payments at ang DefaultRipple feature. Ang pangunahing pagkabigo, ayon sa parehong kumpanya at independiyenteng pagsusuri ng ledger, ay hindi sapat na pagpapatunay ng destinasyon.
Tinanggap ng mga relayer ang mga transaksyon na may dalang inaasahang bridge memo nang hindi kinukumpirma na ang destinasyon ay ang bridge vault. Kapag sapat na ang mga relayer na nagpatunay sa mga maling deposito na iyon, kinredito ng lohika ng bridge sa panig ng tx ang mga balanse na walang suporta na maaaring matubos para sa tunay na XRP.
Tulad ng naunang naiulat, sinubaybayan ng pagsusuri ng pampublikong ledger ang 199,916.3 XRP na umalis sa bridge sa 94 na pagbabayad sa loob ng 97 minuto. Ang naunang bilang na iyon ay sumusukat sa XRP na inilabas mula sa reserba, habang sinasabi ngayon ni Bashash na 198,715.88 XRP ang ninakaw. Hindi pa pampublikong ipinaliwanag ng Tx ang humigit-kumulang 1,200 XRP na pagkakaiba sa pagitan ng mga bilang.
Ang naunang talakayan ng insidente ay nakatuon sa DefaultRipple, isang setting ng XRP Ledger na nalalapat sa mga issued assets. Napag-alaman ng pagsusuri ng XRPL.to na ang native XRP ay hindi umalis sa pamamagitan ng rippling. Sa halip, lahat ng naobserbahang paglabas ng XRP ay nilagdaan ng sariling multisignature setup ng bridge.
Napag-alaman ng pagsusuri ang 17 sa 28 lagda ng relayer sa mga payout ng bridge at 21 relayer na nagpatunay sa unang phantom deposit ng umaatake. Ang ebidensyang iyon ay tumutukoy sa ibinahaging lohika ng pagpapatunay na tumatanggap ng hindi balidong input sa halip na nanakaw na mga signing key.
Mahalaga ang pagkakaiba dahil inilarawan ng tx ang insidente bilang "isolated" sa bridged XRP. Ang iba pang bridged assets ay nananatiling ganap na sinusuportahan, ayon sa kumpanya. Ang bridged XRP sa tx chain ay kasalukuyang hindi ganap na sinusuportahan, at hindi pa inaanunsyo ng team ang isang mekanismo ng pagbabayad-pinsala.
Sinabi ni Bashash na ang ninakaw na XRP ay kinonvert sa ETH, inilipat sa Ethereum sa pamamagitan ng THORChain at sa huli ay inilipat sa Tornado Cash. Nagiging mas mahirap ang direktang pagsubaybay matapos pumasok ang mga pondo sa privacy protocol, bagaman maaari pa ring suriin ng mga imbestigador ang kasaysayan ng transaksyon na humahantong sa puntong iyon.
Sinabi ng Tx na sinubaybayan nito ang ninakaw na assets sa iba't ibang chain at nagsampa ng pormal na reklamo sa Internet Crime Complaint Center ng FBI. Kasama sa pagsasampa ang mga record ng transaksyon at karagdagang impormasyon sa pagkakakilanlan, ayon sa proyekto. Ang pagsasampa ng reklamo sa IC3 ay hindi mismo nagtatatag na ang FBI ay nagbukas ng imbestigasyong kriminal.
Ang insidente ay akma sa mas malawak na pattern ng seguridad. Sa kaugnay na saklaw, ang cross-chain bridge exploits ay nagdulot ng higit sa $4 bilyon na pagkalugi mula noong 2021, na may mga pagkabigo sa cross-chain verification na paulit-ulit na nagbibigay ng ruta sa mga umaatake sa mga asset na walang suporta.
Sinabi ng Tx na natukoy at niresolba nito ang mahina na code, ngunit ang XRPL bridge ay nananatiling offline habang sinusuri ng team ang karagdagang pagbabago sa seguridad. Hindi pa inaanunsyo ng proyekto ang petsa para sa pagpapanumbalik ng operasyon ng bridge.
Sinusuri din ng kumpanya ang mga paraan upang matugunan ang mga pagkalugi para sa mga apektadong user at sinabi na maglalabas ito ng mekanismo at timeline sa isang susunod na update. Sa ngayon, sinabi ng tx na hindi kailangang kumilos ang mga may hawak at binalaan ang mga user laban sa hindi opisyal na serbisyo ng pagbawi.
Ang susunod na beripikadong mga pag-unlad na dapat bantayan ay ang huling pagsasaayos ng ninakaw na halaga, anumang pagbawi o pag-freeze ng pondo, ang plano ng pagbibigay-lunas sa user at ang mga kondisyon para sa muling pagbubukas ng bridge. Sinabi rin ng team na nilalayon nitong ituloy ang pagkakakilanlan at pag-uusig sa umaatake, ngunit ang resulta na iyon ay nananatiling nakasalalay sa patuloy na imbestigasyon at proseso ng pagpapatupad ng batas.
