یک سامانه امنیتی مبتنی بر هوش مصنوعی، آسیب‌پذیری قدیمی و جدی در دفترکل XRP یا XRPL شناسایی کرد؛ نقصی که در صورت سوءاستفاده می‌توانست امکان ایجاد حدود ۱۸ تریلیون XRP را تنها با یک تراکنش فراهم کند. این مقدار تقریبا ۱۸۰ برابر عرضه اولیه ۱۰۰ میلیارد واحدی XRP است و می‌توانست اعتماد به عرضه محدود این رمزارز و بازاری با ارزش حدود ۹۴ میلیارد دلار را به‌شدت تحت تاثیر قرار دهد. طبق گزارش CryptoSlate، توسعه‌دهندگان برای جلوگیری از سوءاستفاده احتمالی، روند معمول تصویب تغییرات در شبکه را کنار گذاشتند و یک اصلاحیه اضطراری را فعال کردند.
آسیب‌پذیری چگونه عمل می‌کرد؟
این نقص در نرم‌افزار rippled، یعنی کد اصلی مورد استفاده دفترکل XRP، از ترکیب دو ضعف جداگانه به وجود می‌آمد. سامانه امنیتی شرکت Veria Labs، که با هوش مصنوعی کار می‌کند، این دو مشکل را شناسایی و امکان ترکیب آن‌ها را در یک حمله بررسی کرد.
ضعف نخست به سرریز عدد صحیح در موتور پردازش پرداخت مربوط بود. مهاجم می‌توانست پیشنهادهای معاملاتی خاصی ایجاد کند تا شبکه مبلغی را که خریدار باید می‌پرداخت، اشتباه محاسبه کند. در این وضعیت، فروشنده کل مبلغ XRP خود را دریافت می‌کرد، اما از حساب خریدار تنها کسری از مبلغ واقعی کسر می‌شد. اختلاف میان این دو رقم عملا به ایجاد XRP جدید و بدون پشتوانه منجر می‌شد.
ضعف دوم، سازوکار حفاظت از عرضه بود. این سازوکار نیز به همان محاسبات معیوب وابسته بود و در نتیجه ممکن بود متوجه ایجاد توکن‌های جدید نشود. بر اساس گزارش آسیب‌پذیری، مهاجم برای اجرای حمله باید چند صد حساب و پیشنهاد معاملاتی را از پیش آماده می‌کرد؛ با این حال هزینه لازم تنها چند صد XRP ذخیره عمدتا قابل بازپرداخت و کارمزدهای معمول تراکنش بود.
کد مربوط به موتور پرداخت به سال ۲۰۱۵ بازمی‌گشت و سازوکار محافظت از عرضه در سال ۲۰۱۷ به شبکه اضافه شده بود. Veria Labs اعلام کرد که سامانه هوش مصنوعی این نقص را شناسایی کرد، یک اکسپلویت عملی ساخت و آن را روی یک شبکه محلی به نمایش گذاشت. مهندسان RippleX نیز به‌طور مستقل حمله را بازتولید کردند و تایید کردند XRP ایجادشده می‌توانست در تراکنش‌های بعدی خرج شود.
اصلاح اضطراری خارج از روند معمول شبکه
این آسیب‌پذیری در ۲۲ سپتامبر گزارش شد و سه روز بعد اصلاحیه آن آماده شد. RippleX بعدا اعلام کرد هیچ XRP غیرمجاز ایجاد نشده، هیچ سرمایه‌ای از دست نرفته و بررسی‌ها نیز نشانه‌ای از بهره‌برداری از این نقص در شبکه‌های عمومی پیدا نکرده است. جزئیات این موضوع در ۹ اکتبر به‌صورت عمومی منتشر شد.
در حالت عادی، تغییر قوانین پردازش تراکنش در XRPL به پشتیبانی بیش از ۸۰ درصد اعتبارسنج‌های مورد اعتماد برای دو هفته متوالی نیاز دارد. اما توسعه‌دهندگان به این نتیجه رسیدند که انتظار برای تکمیل این فرایند، شبکه را در فاصله رأی‌گیری در برابر حمله احتمالی آسیب‌پذیر نگه می‌دارد. از سوی دیگر، انتشار عمومی کد اصلاحیه می‌توانست پیش از فعال شدن حفاظت، جزئیات حمله را برای مهاجمان آشکار کند.
در واکنش، RippleX، بنیاد XRP Ledger و اعتبارسنج‌ها برای ارتقای اضطراری هماهنگ شدند. این حفاظت روی سرورهایی که نسخه ۳.۴.۱ را اجرا می‌کردند، فورا فعال شد. اصلاحیه ابتدا به شکل فایل‌های اجرایی توزیع شد و انتشار موقت کد منبع آن به تعویق افتاد تا خطر مهندسی معکوس و شناسایی اکسپلویت در زمان استقرار کاهش یابد.
این نخستین بار در بیش از یک دهه بود که روند اصلاحات شبکه برای یک تغییر مرتبط با پردازش تراکنش عمدا کنار گذاشته می‌شد. این تصمیم بدون ریسک نبود؛ زیرا اجرای نسخه‌های متفاوت نرم‌افزار می‌توانست باعث شود سرورها درباره اعتبار یک تراکنش به توافق نرسند و حتی اجماع شبکه مختل شود. با این حال، توسعه‌دهندگان اختلال موقت را گزینه‌ای کم‌خطرتر از ورود XRP جعلی به چرخه گردش دانستند. تا ۲۵ سپتامبر، بیش از ۸۰ درصد اعتبارسنج‌های فهرست پیش‌فرض مورد اعتماد ارتقا یافته بودند.
واکنش امنیتی و وضعیت بازار XRP
Veria Labs برای کشف این آسیب‌پذیری پاداش ۲۵۰ هزار دلاری دریافت کرد؛ مبلغی که سقف برنامه پاداش باگ بود. بنیان‌گذار این شرکت گفت این بزرگ‌ترین پاداش شناخته‌شده برای نقصی است که به‌طور کامل توسط یک عامل هوش مصنوعی کشف شده است. این رخداد در حالی اتفاق افتاد که کد XRPL از سال ۲۰۲۴ بیش از ۱۲ ممیزی و رقابت امنیتی را پشت سر گذاشته بود؛ یکی از این رقابت‌ها نیز جایزه‌ای ۵۵۰ هزار دلاری داشت و برنامه‌های کشف باگ شبکه بیش از یک میلیون دلار پرداخت کرده بودند.
RippleX پس از این حادثه اعلام کرد بررسی اجزای قدیمی شبکه را افزایش می‌دهد و استفاده از کشف آسیب‌پذیری با کمک هوش مصنوعی، آزمون‌های تهاجمی و راستی‌آزمایی صوری را گسترش خواهد داد. راستی‌آزمایی صوری روشی ریاضی برای بررسی این است که آیا نرم‌افزار ویژگی‌های امنیتی مشخص‌شده را رعایت می‌کند یا نه. این برنامه بخش‌هایی مانند موتور پرداخت، سازوکار اجماع و ارتباطات همتابه‌همتا را دربر می‌گیرد و بر تلاش‌های قبلی درباره پروتکل وام‌دهی و خزانه تک‌دارایی XRPL بنا می‌شود.
همچنین مقرر شده یافته‌های امنیتی که پیش‌تر «حل‌شده» اعلام شده‌اند، پیش از بسته شدن رسمی پرونده، دوباره روی نسخه‌های آماده انتشار آزمایش شوند. اهمیت این تغییر از آنجا ناشی می‌شود که ابزارهای هوش مصنوعی می‌توانند نقص‌های پنهان در نرم‌افزارهای قدیمی را سریع‌تر پیدا کنند و همین توانایی در اختیار مهاجمان نیز قرار دارد.
بر اساس داده‌های بازار Moneyiar در ساعت ۱۱:۴۹ به وقت +۰۳:۳۰ در ۱۱ اکتبر ۲۰۲۶، قیمت XRP برابر با ۱.۳۹۱۴۳۲۵۹۱۶ دلار بوده است. این رمزارز در ۲۴ ساعت گذشته ۰.۹۱ درصد و در هفت روز گذشته ۷.۱۱ درصد کاهش داشته است. این ارقام، داده بازار Moneyiar در زمان اعلام‌شده هستند و صرفا تصویر لحظه‌ای بازار را نشان می‌دهند.
