A Tx informou em 12 de agosto que sua ponte XRPL foi explorada em 9 de agosto, depois que um invasor abusou da lógica defeituosa de detecção de depósitos, drenando XRP da reserva da ponte.
O líder técnico Reza Bashash estimou o valor roubado em 198.715,88 XRP. A ponte permanece paralisada enquanto a equipe avalia as opções de recuperação e fortalece o software afetado, de acordo com sua última publicação.
A empresa disse que a falha fez com que transações que nunca entregaram XRP à ponte fossem registradas como depósitos. Isso permitiu que XRP ponteado sem lastro fosse cunhado na cadeia tx. O invasor então retirou XRP real da carteira de reserva contra esses saldos.
A Tx disse que a vulnerabilidade estava no software da ponte e não no próprio XRP Ledger. Bashash descreveu o problema como um bug na lógica do relayer do XRPL envolvendo pagamentos entre moedas e o recurso DefaultRipple. A falha central, de acordo com a empresa e a análise independente do ledger, foi uma validação de destino insuficiente.
Os relayers aceitaram transações contendo o memorando de ponte esperado sem confirmar que o destino era, de fato, o cofre da ponte. Uma vez que um número suficiente de relayers atestou esses depósitos falsos, a lógica da ponte do lado tx creditou saldos sem lastro que poderiam ser resgatados por XRP genuíno.
Conforme relatado anteriormente, a análise pública do ledger rastreou 199.916,3 XRP saindo da ponte em 94 pagamentos ao longo de 97 minutos. Esse número anterior mede o XRP liberado da reserva, enquanto Bashash agora afirma que 198.715,88 XRP foram roubados. A Tx não explicou publicamente a diferença de aproximadamente 1.200 XRP entre os números.
A discussão anterior sobre o incidente focou no DefaultRipple, uma configuração do XRP Ledger que se aplica a ativos emitidos. A análise da XRPL.to descobriu que o XRP nativo não saiu por meio de 'rippling'. Em vez disso, todas as liberações de XRP observadas foram assinadas pela própria configuração multisignature da ponte.
A análise encontrou 17 das 28 assinaturas de relayers nos pagamentos da ponte e 21 relayers atestando o primeiro depósito fantasma do invasor. Essa evidência aponta para uma lógica de verificação compartilhada que aceita entradas inválidas, em vez de chaves de assinatura roubadas.
A distinção é importante porque a tx descreveu o incidente como "isolado" ao XRP ponteado. Outros ativos ponteados permanecem totalmente lastreados, de acordo com a empresa. O XRP ponteado na cadeia tx não está atualmente totalmente lastreado, e a equipe ainda não anunciou um mecanismo de reembolso.
Bashash disse que o XRP roubado foi convertido em ETH, movido para Ethereum através do THORChain e, por fim, transferido para o Tornado Cash. O rastreamento direto torna-se mais difícil depois que os fundos entram no protocolo de privacidade, embora os investigadores ainda possam examinar o histórico de transações que levaram a esse ponto.
A Tx disse que rastreou os ativos roubados através das cadeias e apresentou uma queixa formal ao Internet Crime Complaint Center do FBI. A queixa incluiu registros de transações e informações adicionais de identificação, de acordo com o projeto. Registrar uma queixa no IC3 não estabelece por si só que o FBI abriu uma investigação criminal.
O incidente se encaixa em um padrão de segurança mais amplo. Em cobertura relacionada, exploits de pontes cross-chain causaram mais de US$ 4 bilhões em perdas desde 2021, com falhas na verificação cross-chain fornecendo repetidamente aos invasores uma rota para ativos sem lastro.
A Tx disse ter identificado e remediado o código vulnerável, mas a ponte XRPL permanece offline enquanto a equipe revisa mudanças adicionais de segurança. O projeto não anunciou uma data para a restauração das operações da ponte.
A empresa também está avaliando maneiras de abordar as perdas para os usuários afetados e disse que publicará um mecanismo e um cronograma em uma atualização posterior. Por enquanto, a tx afirma que os detentores não precisam tomar nenhuma providência e alertou os usuários contra serviços de recuperação não oficiais.
Os próximos desenvolvimentos verificados a serem observados são a reconciliação final do valor roubado, qualquer recuperação ou congelamento de fundos, o plano de compensação ao usuário e as condições para a reabertura da ponte. A equipe também disse que pretende perseguir a identificação e o processo do invasor, mas esse resultado depende da investigação contínua e do processo de aplicação da lei.
