Patch dicht route naar extra XRP op XRP Ledger

RippleX heeft op 25 september een patch uitgebracht voor de XRP Ledger die een vermoedelijk tien jaar oude bug in de betalingssoftware verhelpt. De kwetsbaarheid kon theoretisch nieuwe, besteedbare XRP laten ontstaan en daarmee de vaste voorraad van 100 miljard tokens ondermijnen; volgens RippleX is er geen bewijs dat de fout op openbare netwerken is misbruikt.

De oplossing zit in versie xrpld 3.4.1, de serversoftware van het grootboek. CoinDesk en TokenPost melden dat onderzoekers de kwetsbaarheid konden demonstreren en dat RippleX de aanval op een afzonderlijke server heeft nagebootst.

Hoe de betalingsbug extra XRP kon opleveren

De fout zou teruggaan tot 2015 en werd ontdekt door onderzoeker Cayden Liao en Veria AI. Zij meldden het probleem intern op 22 september, waarna RippleX-ingenieurs onderzochten hoe de betalingslogica kon worden misbruikt.

De aanval draaide om de ingebouwde beurs van de XRP Ledger. Daar kunnen accounts aanbiedingen plaatsen om tokens tegen elkaar te ruilen. Een aanvaller had volgens de berichtgeving honderden accounts kunnen openen en elk daarvan een kleine hoeveelheid van een ander token laten aanbieden voor een uitzonderlijk groot XRP-bedrag.

Vervolgens kon één betaling meerdere aanbiedingen tegelijk uitvoeren. Door een telprobleem in de verwerking van het verschuldigde totaal konden de verkopende accounts grote hoeveelheden XRP ontvangen, terwijl het kopende account bijna niets betaalde. RippleX stelde vast dat de zo ontstane XRP in een volgende transactie besteedbaar was.

Dat raakt aan een belangrijke eigenschap van het netwerk: alle 100 miljard XRP werden bij de lancering van het grootboek in 2012 gecreëerd en de software is ontworpen om geen extra tokens toe te voegen. De bug zou die grens dus niet formeel hebben veranderd, maar had een route kunnen bieden om die in de praktijk te omzeilen.

Geen bewijs van misbruik op openbare netwerken

Een controle na iedere transactie hoort te signaleren wanneer nieuwe XRP verschijnt. Die controle kon de mogelijke creatie echter missen doordat zij afhankelijk was van hetzelfde verkeerd getelde totaal. Ook een limiet op de hoeveelheid XRP die één account kon ontvangen, zou volgens de beschrijving niet noodzakelijk hebben ingegrepen: de aanvaller kon de bedragen over honderden accounts verdelen.

De demonstratie vereiste enkele honderden XRP om accounts te openen, plus transactiekosten. Het grootste deel van de XRP die voor die accountreserves werd gebruikt, kon later worden teruggevorderd. De mogelijke opbrengst van de aanval stond daardoor niet in verhouding tot de beperkte initiële hoeveelheid XRP, al is niet vastgesteld dat iemand de methode op een openbaar netwerk heeft toegepast.

Als nieuw gecreëerde XRP wel op beurzen was verkocht, had dat de schaarste waarop houders en partijen die het netwerk gebruiken vertrouwen kunnen aantasten. Dat is een mogelijk gevolg van de kwetsbaarheid, geen bevestigde marktimpact. RippleX meldde geen bewijs van exploitatie op openbare netwerken en bracht de softwarepatch uit voordat de details van de fout openbaar werden gemaakt.

Uitrol van de patch blijft een aandachtspunt

De release van xrpld 3.4.1 is bevestigd, maar de beschikbare berichtgeving geeft geen volledig beeld van hoeveel validators en andere infrastructuurpartijen de versie inmiddels gebruiken. Die uitrol is relevant omdat de patch alleen bescherming biedt aan partijen die de bijgewerkte software draaien.

Voor XRP-houders is het onderscheid tussen een aangetoonde kwetsbaarheid en bevestigd misbruik belangrijk: RippleX kon de aanval reproduceren, maar rapporteerde geen aanwijzingen dat de fout op openbare netwerken is uitgebuit. Vooralsnog is de concrete vervolgvraag daarom hoe breed versie 3.4.1 wordt ingevoerd; aanvullende technische details over de patch zijn in de beschikbare berichtgeving beperkt.