Tx menyatakan pada 12 Agustus bahwa jembatan XRPL miliknya telah dieksploitasi pada 9 Agustus setelah penyerang menyalahgunakan logika deteksi deposit yang salah, menguras XRP dari cadangan jembatan.
Pimpinan teknis Reza Bashash menyebutkan jumlah yang dicuri sebesar 198.715,88 XRP. Jembatan tersebut tetap dihentikan sementara tim mengevaluasi opsi pemulihan dan memperkuat perangkat lunak yang terpengaruh, menurut postingan terbarunya.
Perusahaan tersebut mengatakan bahwa celah tersebut menyebabkan transaksi yang tidak pernah mengirimkan XRP ke jembatan tercatat sebagai deposit. Hal ini memungkinkan XRP yang dijembatani tanpa jaminan dicetak di rantai tx. Penyerang kemudian menarik XRP asli dari dompet cadangan berdasarkan saldo tersebut.
Tx mengatakan kerentanan tersebut berada di perangkat lunak jembatan, bukan pada XRP Ledger itu sendiri. Bashash menjelaskan masalah tersebut sebagai bug dalam logika relayer XRPL yang melibatkan pembayaran lintas mata uang dan fitur DefaultRipple. Kegagalan utama, menurut perusahaan dan analisis ledger independen, adalah validasi tujuan yang tidak memadai.
Relayer menerima transaksi yang membawa memo jembatan yang diharapkan tanpa mengonfirmasi bahwa tujuan sebenarnya adalah brankas jembatan. Setelah cukup banyak relayer mengkonfirmasi deposit palsu tersebut, logika jembatan sisi tx mengkreditkan saldo tanpa jaminan yang dapat ditukarkan dengan XRP asli.
Seperti yang dilaporkan sebelumnya, analisis ledger publik melacak 199.916,3 XRP yang keluar dari jembatan dalam 94 pembayaran selama 97 menit. Angka sebelumnya mengukur XRP yang dilepaskan dari cadangan, sementara Bashash sekarang mengatakan 198.715,88 XRP dicuri. Tx belum menjelaskan secara publik perbedaan sekitar 1.200 XRP antara angka-angka tersebut.
Diskusi sebelumnya mengenai insiden ini berfokus pada DefaultRipple, pengaturan XRP Ledger yang berlaku untuk aset yang diterbitkan. Analisis XRPL.to menemukan bahwa XRP asli tidak keluar melalui rippling. Sebaliknya, semua pelepasan XRP yang diamati ditandatangani oleh pengaturan multisignature jembatan itu sendiri.
Analisis menemukan 17 dari 28 tanda tangan relayer pada pembayaran jembatan dan 21 relayer yang mengkonfirmasi deposit hantu pertama penyerang. Bukti tersebut menunjukkan logika verifikasi bersama yang menerima input tidak valid daripada kunci penandatanganan yang dicuri.
Perbedaan ini penting karena tx menggambarkan insiden tersebut sebagai “terisolasi” pada XRP yang dijembatani. Aset jembatan lainnya tetap didukung penuh, menurut perusahaan. XRP yang dijembatani di rantai tx saat ini tidak didukung penuh, dan tim belum mengumumkan mekanisme penggantian rugi.
Bashash mengatakan XRP yang dicuri dikonversi menjadi ETH, dipindahkan ke Ethereum melalui THORChain, dan akhirnya ditransfer ke Tornado Cash. Penelusuran langsung menjadi lebih sulit setelah dana masuk ke protokol privasi, meskipun penyelidik masih dapat memeriksa riwayat transaksi hingga titik tersebut.
Tx mengatakan pihaknya melacak aset yang dicuri melintasi rantai dan mengajukan keluhan resmi ke Pusat Pengaduan Kejahatan Internet FBI (FBI’s Internet Crime Complaint Center). Pengajuan tersebut mencakup catatan transaksi dan informasi identifikasi tambahan, menurut proyek tersebut. Pengajuan keluhan IC3 tidak dengan sendirinya menetapkan bahwa FBI telah membuka penyelidikan kriminal.
Insiden ini sesuai dengan pola keamanan yang lebih luas. Dalam liputan terkait, eksploitasi jembatan lintas rantai telah menyebabkan kerugian lebih dari $4 miliar sejak 2021, dengan kegagalan dalam verifikasi lintas rantai berulang kali memberikan jalur bagi penyerang untuk mengakses aset tanpa jaminan.
Tx mengatakan telah mengidentifikasi dan memperbaiki kode yang rentan, namun jembatan XRPL tetap offline sementara tim meninjau perubahan keamanan tambahan. Proyek ini belum mengumumkan tanggal untuk memulihkan operasi jembatan.
Perusahaan ini juga mengevaluasi cara untuk mengatasi kerugian bagi pengguna yang terpengaruh dan mengatakan akan menerbitkan mekanisme dan garis waktu dalam pembaruan selanjutnya. Untuk saat ini, tx mengatakan pemegang tidak perlu mengambil tindakan dan memperingatkan pengguna terhadap layanan pemulihan tidak resmi.
Perkembangan terverifikasi selanjutnya yang perlu diperhatikan adalah rekonsiliasi akhir jumlah yang dicuri, setiap pemulihan atau pembekuan dana, rencana perbaikan bagi pengguna, dan kondisi untuk membuka kembali jembatan. Tim juga mengatakan bermaksud untuk mengidentifikasi dan menuntut penyerang, namun hasil tersebut tetap bergantung pada investigasi yang berkelanjutan dan proses penegakan hukum.
