Tx повідомила 12 серпня, що 9 серпня її міст XRPL зазнав експлойту після того, як зловмисник використав хибну логіку виявлення депозитів, вивівши XRP з резерву мосту.
Технічний керівник Реза Башаш оцінив викрадену суму в 198 715,88 XRP. Міст залишається зупиненим, поки команда оцінює варіанти відновлення та посилює уражене програмне забезпечення, згідно з її останнім повідомленням.
Компанія заявила, що недолік призвів до того, що транзакції, які ніколи не доставляли XRP до мосту, були зареєстровані як депозити. Це дозволило викарбувати незабезпечений XRP, що пройшов міст, у мережі tx. Потім зловмисник вивів реальні XRP з резервного гаманця проти цих балансів.
Tx повідомила, що вразливість була в програмному забезпеченні мосту, а не в самому XRP Ledger. Башаш описав проблему як помилку в логіці ретранслятора XRPL, що стосується міжвалютних платежів та функції DefaultRipple. Основною причиною збою, за словами як компанії, так і незалежного аналізу реєстру, була недостатня перевірка призначення.
Ретранслятори приймали транзакції, що містили очікуване мемо мосту, без підтвердження того, що призначенням було дійсно сховище мосту. Коли достатня кількість ретрансляторів засвідчила ці фальшиві депозити, логіка мосту на стороні tx зарахувала незабезпечені баланси, які могли бути обміняні на справжні XRP.
Як повідомлялося раніше, аналіз публічного реєстру відстежив 199 916,3 XRP, які залишили міст 94 платежами протягом 97 хвилин. Ця попередня цифра вимірює XRP, випущені з резерву, тоді як Башаш тепер заявляє, що було викрадено 198 715,88 XRP. Tx публічно не пояснила різницю між цифрами приблизно в 1200 XRP.
Раніше обговорення інциденту зосереджувалося на DefaultRipple, налаштуванні XRP Ledger, що стосується випущених активів. Аналіз XRPL.to виявив, що нативний XRP не був виведений через rippling. Замість цього, всі спостережувані випуски XRP були підписані власною мультипідписною системою мосту.
Аналіз виявив 17 з 28 підписів ретрансляторів на виплатах мосту та 21 ретранслятор, що засвідчував перший фантомний депозит зловмисника. Ці докази вказують на спільну логіку верифікації, що приймає недійсні вхідні дані, а не на викрадені ключі підпису.
Ця відмінність має значення, оскільки tx описала інцидент як «ізольований» для XRP, що пройшов міст. Інші з'єднані активи залишаються повністю забезпеченими, згідно з компанією. З'єднаний XRP у мережі tx наразі не повністю забезпечений, і команда ще не оголосила механізм відшкодування.
Башаш заявив, що викрадені XRP були конвертовані в ETH, переміщені в Ethereum через THORChain і, зрештою, переведені в Tornado Cash. Пряме відстеження стає складнішим після того, як кошти потрапляють у протокол конфіденційності, хоча слідчі все ще можуть вивчати історію транзакцій, що веде до цього моменту.
Tx повідомила, що відстежила викрадені активи в різних мережах та подала офіційну скаргу до Центру скарг на інтернет-злочинність ФБР. Подання включало записи транзакцій та додаткову ідентифікаційну інформацію, згідно з проектом. Подання скарги до IC3 саме по собі не встановлює, що ФБР розпочало кримінальне розслідування.
Інцидент вписується в ширшу модель безпеки. У супутньому звіті, експлойти міжланцюгових мостів спричинили збитки на суму понад 4 мільярди доларів з 2021 року, причому збої в міжланцюговій верифікації неодноразово надавали зловмисникам шлях до незабезпечених активів.
Tx повідомила, що виявила та усунула вразливий код, але міст XRPL залишається офлайн, поки команда переглядає додаткові зміни безпеки. Проєкт не оголосив дату відновлення роботи мосту.
Компанія також оцінює способи вирішення проблеми збитків для постраждалих користувачів і заявила, що опублікує механізм та часову шкалу в подальшому оновленні. Наразі tx заявляє, що власникам не потрібно вживати заходів, і попередила користувачів про неофіційні послуги з відновлення.
Наступні перевірені події, за якими варто спостерігати, це остаточне узгодження викраденої суми, будь-яке відновлення або заморожування коштів, план відшкодування для користувачів та умови для відновлення роботи мосту. Команда також заявила, що має намір домагатися ідентифікації та переслідування зловмисника, але цей результат залишається залежним від триваючого розслідування та правоохоронного процесу.
