Tx a declarat pe 12 august că bridge-ul său XRPL a fost exploatat pe 9 august, după ce un atacator a abuzat de o logică defectuoasă de detectare a depozitelor, extrăgând XRP din rezerva bridge-ului.
Liderul tehnic Reza Bashash a estimat suma furată la 198.715,88 XRP. Bridge-ul rămâne oprit în timp ce echipa evaluează opțiunile de recuperare și consolidează software-ul afectat, conform celei mai recente postări.
Compania a declarat că vulnerabilitatea a făcut ca tranzacțiile care nu au livrat niciodată XRP către bridge să fie înregistrate ca depozite. Acest lucru a permis ca XRP bridge-uit neacoperit să fie minat pe lanțul tx. Atacatorul a retras apoi XRP real din portofelul de rezervă, în baza acelor solduri.
Tx a declarat că vulnerabilitatea se afla în software-ul bridge-ului, nu în XRP Ledger în sine. Bashash a descris problema ca fiind un bug în logica relayer-ului XRPL, implicând plăți cross-currency și funcția DefaultRipple. Eșecul central, conform atât companiei, cât și analizei independente a registrului, a fost validarea insuficientă a destinației.
Relayerele au acceptat tranzacții care conțineau memo-ul așteptat al bridge-ului fără a confirma că destinația era de fapt seiful bridge-ului. Odată ce suficiente relayere au confirmat acele depozite false, logica bridge-ului pe partea tx a creditat solduri neacoperite care puteau fi răscumpărate pentru XRP autentic.
Așa cum s-a raportat anterior, analiza publică a registrului a urmărit 199.916,3 XRP care au părăsit bridge-ul în 94 de plăți pe parcursul a 97 de minute. Această cifră anterioară măsoară XRP-ul eliberat din rezervă, în timp ce Bashash afirmă acum că 198.715,88 XRP au fost furați. Tx nu a explicat public diferența de aproximativ 1.200 XRP dintre cifre.
Discuțiile anterioare despre incident s-au concentrat pe DefaultRipple, o setare a XRP Ledger care se aplică activelor emise. Analiza XRPL.to a constatat că XRP-ul nativ nu a părăsit sistemul prin rippling. În schimb, toate eliberările de XRP observate au fost semnate de propria configurație multisemnată a bridge-ului.
Analiza a găsit 17 din 28 de semnături de relayer pe plățile bridge-ului și 21 de relayere care atestă primul depozit fantomă al atacatorului. Această dovadă indică o logică de verificare partajată care acceptă intrări invalide, mai degrabă decât chei de semnare furate.
Diferența contează deoarece tx a descris incidentul ca fiind „izolat” la XRP-ul bridge-uit. Alte active bridge-uite rămân complet garantate, conform companiei. XRP-ul bridge-uit pe lanțul tx nu este în prezent pe deplin garantat, iar echipa nu a anunțat încă un mecanism de rambursare.
Bashash a declarat că XRP-ul furat a fost convertit în ETH, mutat pe Ethereum prin THORChain și, în cele din urmă, transferat către Tornado Cash. Urmărirea directă devine mai dificilă după ce fondurile intră în protocolul de confidențialitate, deși investigatorii pot examina în continuare istoricul tranzacțiilor care duce până la acel punct.
Tx a declarat că a urmărit activele furate pe mai multe lanțuri și a depus o plângere formală la Centrul de Plângeri pentru Infracțiuni pe Internet al FBI (FBI’s Internet Crime Complaint Center). Dosarul a inclus înregistrări ale tranzacțiilor și informații de identificare suplimentare, conform proiectului. Depunerea unei plângeri IC3 nu stabilește prin ea însăși că FBI a deschis o investigație penală.
Incidentul se încadrează într-un tipar de securitate mai larg. Într-o acoperire similară, exploatările bridge-urilor cross-chain au cauzat pierderi de peste 4 miliarde de dolari din 2021, cu eșecuri repetate în verificarea cross-chain oferind atacatorilor o rută către active neacoperite.
Tx a declarat că a identificat și remediat codul vulnerabil, dar bridge-ul XRPL rămâne offline în timp ce echipa revizuiește modificări suplimentare de securitate. Proiectul nu a anunțat o dată pentru restabilirea operațiunilor bridge-ului.
Compania evaluează, de asemenea, modalități de a aborda pierderile pentru utilizatorii afectați și a declarat că va publica un mecanism și un calendar într-o actualizare ulterioară. Pentru moment, tx spune că deținătorii nu trebuie să ia măsuri și a avertizat utilizatorii împotriva serviciilor de recuperare neoficiale.
Următoarele evoluții verificate de urmărit sunt reconcilierea finală a sumei furate, orice recuperare sau înghețare a fondurilor, planul de remediere pentru utilizatori și condițiile pentru redeschiderea bridge-ului. Echipa a declarat, de asemenea, că intenționează să urmărească identificarea și urmărirea penală a atacatorului, dar acest rezultat rămâne dependent de investigația continuă și de procesul de aplicare a legii.
