⁦XRP Ledger⁩ تتجاوز مسار التعديل المعتاد لإصلاح ثغرة في المعروض

فعّلت الجهات المشاركة في تطوير XRP Ledger تحديثاً طارئاً لمعالجة ثغرة في برنامج rippled، بعد أن أظهر اختبار محلي إمكانية إنشاء XRP قابلة للإنفاق من دون أن تلتقطها آلية حماية المعروض. ووفق الإفصاح الأمني المنشور في 9 أكتوبر، أُبلغ عن الخلل في 22 سبتمبر ورُقّع خلال ثلاثة أيام.

وقالت RippleX إن التحقيق لم يجد دليلاً على استغلال الثغرة في الشبكة العامة، وإنه لم تُنشأ XRP غير مصرح بها ولم تُفقد أموال. لكن خطورة السيناريو دفعت المطورين إلى تجاوز مسار التفعيل المعتاد لتعديلات البروتوكول، خشية أن يطيل انتظار تصويت الشبكة فترة التعرض للخطر.

خللان في المدفوعات وحماية المعروض

قالت شركة الأمن Veria Labs إن نظامها المدعوم بالذكاء الاصطناعي اكتشف خللين يمكن جمعهما في مسار استغلال واحد. يتعلق الأول بتجاوز في سعة الأعداد الصحيحة داخل محرك المدفوعات، ما قد يدفع البرنامج، عند استخدام عروض تداول مصممة بعناية، إلى احتساب قيمة أقل من المبلغ الفعلي المستحق على المشتري.

بحسب وصف الإفصاح، كان من الممكن أن يتلقى البائع كامل مبلغ XRP، بينما يُخصم من المشتري جزء ضئيل فقط. وكان الفارق بين القيمتين سيظهر كـXRP لم تكن موجودة سابقاً. أما الخلل الثاني فكان يمس آلية مصممة لرصد التغيرات غير المشروعة في المعروض، لكنها اعتمدت بدورها على الحسابات المتأثرة بالمشكلة نفسها.

وتقول Veria إن تنفيذ السيناريو كان يتطلب إعداد مئات الحسابات وعروض التداول مسبقاً، ثم إرسال معاملة دفع محددة. كما أفادت بأن التكلفة اللازمة لذلك كانت تقتصر أساساً على احتياطيات حسابات يمكن استرداد معظمها ورسوم معاملات عادية. وهذه تفاصيل فنية واردة في تقرير الكشف عن الثغرة، وليست دليلاً على أن هجوماً مماثلاً جرى خارج بيئة الاختبار.

وقدّرت الشركة أن الاستغلال النظري كان يمكن أن يولد نحو 18 تريليون XRP في معاملة واحدة، أي قرابة 180 ضعف المعروض الأصلي البالغ 100 مليار XRP. لكن هذا التقدير يصف حداً محتملاً ضمن نموذج الاختبار، ولا يعني أن تلك الكمية دخلت السوق أو أن القيمة السوقية للعملة تعرضت لخسارة مماثلة.

اختبار محلي من دون دليل على استغلال عام

قال المصدر إن مهندسي RippleX أعادوا إنتاج الاستغلال بصورة مستقلة، وإن XRP المتولدة في الاختبار أمكن استخدامها في معاملات لاحقة على شبكة محلية. ويدعم ذلك، وفق الرواية المنشورة، أن الأمر لم يكن خطأً نظرياً في مراجعة الشفرة فقط، بل سلوكاً قابلاً للتنفيذ في بيئة محكومة.

لكن النتيجة المتاحة للمستخدمين تختلف عن سيناريو الاختبار: قالت RippleX إن التحقيقات لم ترصد إنشاء XRP غير مصرح بها، ولم تجد دليلاً على استغلال علني للشبكة. ولا يقدم الإفصاح دليلاً مستقلاً يثبت أن الثغرة لم تكن معروفة لأي جهة قبل التبليغ، كما لا يقدم مؤشرات على استخدامها علناً.

ويرجع تاريخ رمز محرك المدفوعات المتأثر إلى 2015، بينما أضيفت آلية حماية المعروض المعنية في 2017، وفق المصدر. وقالت Veria إن قاعدة الشفرة مرت بمراجعات وتدقيقات ومسابقات أمنية متعددة، منها برامج مكافآت دفعت أكثر من مليون دولار منذ 2024، من دون اكتشاف هذا التسلسل من العيوب. وحصلت الشركة على مكافأة قدرها 250 ألف دولار، وهي الحد الأقصى في البرنامج وفق التقرير.

تحديث عاجل خارج آلية الحوكمة المعتادة

عادةً، تتطلب تعديلات قواعد معالجة المعاملات في XRP Ledger تأييد أكثر من 80% من المدققين الموجودين على قائمة المدققين الموثوقين لمدة أسبوعين متتاليين قبل تفعيلها. لكن الإفصاح يقول إن فريق التطوير لم ينتظر هذه العملية، خشية أن يكشف نشر الإصلاح تفاصيل تمكّن جهات أخرى من استنتاج طريقة الاستغلال قبل انتشار الحماية.

لذلك نُشر تحديث طارئ في الإصدار 3.4.1، ووُزع في البداية في صورة ملفات تنفيذية من دون نشر فوري للشفرة المصدرية. ووفق المطورين، كان الهدف من ذلك الحد من خطر الهندسة العكسية للثغرة أثناء تحديث المشغلين.

غير أن هذا المسار حمل مخاطرة تشغيلية: فقد تختلف الخوادم المحدثة وغير المحدثة في تقييم صلاحية معاملة ما، بما قد يربك التوافق بين العقد أو يوقفه مؤقتاً. وقالت الجهات المشاركة إن أكثر من 80% من المدققين في القائمة الافتراضية الموثوقة حدثوا برمجياتهم بحلول 25 سبتمبر، ما خفف هذا الخطر، من دون أن يثبت تحديث جميع مشغلي العقد أو الأطراف المعتمدة على الشبكة في الوقت نفسه.

حدود التدقيق التقليدي ودور أدوات الذكاء الاصطناعي

لا يثبت اكتشاف وكيل ذكاء اصطناعي للثغرة أن هذه الأدوات حلت محل التدقيق الأمني أو أنها تستطيع تأمين الشبكات ذاتياً. فالتقرير يصف عملية شملت تحليل الشفرة وبناء استغلال عملي، ثم إعادة إنتاج مستقلة من مهندسي RippleX، قبل تنسيق الإصلاح مع المدققين والمؤسسات المرتبطة بالشبكة.

لكن الواقعة تظهر أيضاً أن التدقيقات السابقة وبرامج المكافآت لا تضمن كشف جميع التفاعلات غير المتوقعة بين مكونات قديمة في البروتوكول. وأعلنت RippleX نيتها توسيع استخدام اكتشاف الثغرات المدعوم بالذكاء الاصطناعي والاختبارات الهجومية، وتسريع العمل على التحقق الشكلي، وهو أسلوب رياضي لاختبار مطابقة البرنامج لخصائص أمنية محددة.

وتبقى هذه خططاً معلنة وليست نتائج مثبتة. أما التغيير الإجرائي المحدد في الإفصاح، فهو إعادة اختبار النتائج الأمنية التي اعتُبرت محلولة سابقاً على النسخ المرشحة للإصدار قبل إغلاقها نهائياً.

اقرأ أيضاً

• XRP Ledger تفعّل تفويض الصلاحيات مع تحذير من إذن PaymentBurn
• XRP Ledger تعيد محاولة تفعيل تفويض الصلاحيات بعد إصلاح ثغرة رسوم
• XRP Ledger تصلح ثغرة قد تتيح إنشاء XRP قابل للإنفاق بلا تمويل

المصدر

استندت هذه المادة إلى المعلومات المنشورة عبر CryptoSlate.

فتح المصدر الأصلي