XRP Ledger แก้ช่องโหว่สร้าง XRP โดยไม่ได้รับอนุญาต หลังประเมินความรุนแรงระดับ ‘วิกฤต’

ช่องโหว่ที่อาจทำให้สร้าง XRP ใน XRP Ledger โดยไม่ได้รับอนุญาตได้รับการยกระดับความรุนแรงเป็น ‘วิกฤต’ หลังทีมวิศวกรรมของ RippleX จำลองปัญหานี้ได้ โดยมีการแก้ไขช่องโหว่เมื่อวันที่ 25 กันยายน และเผยแพร่รายงานที่เกี่ยวข้องเมื่อวันที่ 9 ตุลาคม

เอกสารเปิดเผยข้อมูลของ Evernorth ที่ยื่นต่อคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (SEC) ระบุว่า Ripple Labs เป็นคู่สัญญาในข้อตกลงควบรวมกิจการและเป็นผู้ลงทุน XRP อย่างไรก็ตาม ความสัมพันธ์ตามสัญญานี้เพียงอย่างเดียวไม่ได้ยืนยันว่า Ripple Labs แบ่งปันข้อมูลช่องโหว่กับผู้เกี่ยวข้องในการควบรวม หรือผู้บริหาร Evernorth ทราบเรื่องล่วงหน้า

รายงานช่องโหว่อย่างเป็นทางการของ XRP Ledger ระบุว่า ทีมวิศวกรรม RippleX จำลองปัญหาที่มีผู้แจ้งผ่านโครงการ Bug Bounty เมื่อวันที่ 22 กันยายน และปรับระดับความรุนแรงเป็น ‘วิกฤต’ ทีมงานยืนยันว่า XRP ที่สร้างขึ้นใหม่บนเซิร์ฟเวอร์ของตนสามารถนำไปใช้ชำระเงินครั้งต่อไปได้

รายงานอธิบายว่า การโจมตีต้องอาศัยข้อเสนอขายหลายร้อยรายการที่จัดวางเป็นพิเศษในสมุดคำสั่งซื้อขาย และการชำระเงินที่ประมวลผลข้อเสนอเหล่านั้นพร้อมกัน เมื่อระบบชำระเงินรวมจำนวน XRP จากหลายข้อเสนอจนเกินขอบเขตจำนวนเต็มที่กำหนด ยอดรวมอาจวนกลับไปเป็นค่าที่ต่ำกว่าเดิม

หากเกิดข้อผิดพลาดดังกล่าว ผู้ขายอาจได้รับเงินตามจำนวนที่เสนอขาย แต่ผู้ซื้อถูกเรียกเก็บเพียงยอดรวมที่ลดลง ส่วนต่างนั้นจึงอาจทำให้เกิด XRP ใหม่ขึ้นได้

xrpld เวอร์ชันแก้ไข 3.4.1 เผยแพร่เมื่อวันที่ 25 กันยายน รายงานของ XRP Ledger ระบุว่าไม่พบหลักฐานว่ามีการใช้ช่องโหว่นี้โจมตีเครือข่ายสาธารณะ รายงานเผยแพร่เมื่อวันที่ 9 ตุลาคม หรือประมาณสองสัปดาห์หลังการเปิดตัวเวอร์ชันแก้ไข

แผนควบรวมกิจการระหว่าง Evernorth และ Armada Acquisition II ได้รับอนุมัติเมื่อวันที่ 30 กันยายน ก่อนหน้านี้ TokenPost รายงานการอนุมัติการควบรวมและประมาณการการถือครอง XRP ของ Evernorth ความสัมพันธ์ตามสัญญาและการลงทุนที่ตรวจพบในครั้งนี้ รวมถึงช่วงเวลาที่มีการจำลองและแก้ไขช่องโหว่ เป็นข้อเท็จจริงคนละส่วนกัน ส่วนการแบ่งปันข้อมูลช่องโหว่กับผู้เกี่ยวข้องในการควบรวมยังไม่สามารถยืนยันได้จากข้อมูลสาธารณะ