Lỗ hổng tạo XRP được công bố sau khi vá, báo cáo đăng 9 ngày sau cuộc bỏ phiếu sáp nhập

Một lỗi tràn số nguyên trong công cụ thanh toán XRPL có thể tạo XRP mới đã được phát hiện và khắc phục. Báo cáo về lỗ hổng được công bố 9 ngày sau cuộc bỏ phiếu thông qua thương vụ sáp nhập với Evernorth. Những người bỏ phiếu tán thành là cổ đông của Armada Acquisition II, công ty khi đó chưa niêm yết.

Tài liệu nộp lên Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) ghi nhận cuộc họp cổ đông của Armada Acquisition II diễn ra ngày 30 tháng 9. Sau khi sáp nhập hoàn tất, công ty hợp nhất dự kiến giao dịch trên Nasdaq với mã XRPN. Thương vụ hoàn tất ngày 9 tháng 10.

Trong báo cáo lỗ hổng công bố ngày 9 tháng 10, XRPL cho biết lỗi tràn số nguyên trong công cụ thanh toán có thể tạo XRP mới trong một số điều kiện. Nhà nghiên cứu báo cáo vấn đề ngày 22 tháng 9 thông qua chương trình tìm lỗi nhận thưởng. Nhóm phát triển XRPL đã tái hiện và khắc phục lỗi. Báo cáo cũng cho biết không có bằng chứng lỗ hổng bị khai thác trên mạng công khai.

Bản cập nhật xrpld 3.4.1 được phát hành ngày 25 tháng 9. Bản sửa lỗi tràn XRP có hiệu lực khi máy chủ cập nhật lên phiên bản mới, không cần chờ cuộc bỏ phiếu của các trình xác thực. Một bản sửa lỗi khác liên quan đến giao dịch theo lô trong cùng báo cáo được kích hoạt trên mainnet ngày 9 tháng 10 sau một quy trình riêng.

Tài liệu nộp lên SEC có đề cập đến các rủi ro thông thường về mạng lưới và mật mã của XRPL, nhưng không thấy nội dung mô tả cụ thể lỗ hổng tràn số nguyên lần này. Tài liệu công khai không đủ để xác định liệu cổ đông có nhận được tài liệu riêng hoặc thông báo không công khai hay không. Vì vậy, chưa thể khẳng định cổ đông không biết về lỗ hổng.

Báo cáo XRPL cho rằng lỗ hổng có thể đã tồn tại từ năm 2015, khi công cụ thanh toán hiện tại được viết. Kẻ tấn công có thể thao túng nhiều lệnh để xử lý thành một khoản thanh toán, gây tràn số nguyên khi tính tổng XRP. Tràn số nguyên là lỗi xảy ra khi giá trị tính toán vượt quá phạm vi biểu diễn của biến số nguyên và thay đổi ngoài dự kiến.

Trong một phân tích kỹ thuật riêng, Veria Labs tính toán rằng việc tái hiện cuộc tấn công có thể tạo ra khoảng 18 nghìn tỷ XRP. Đây là con số trong kịch bản tấn công do nhóm nghiên cứu đưa ra, không phải lượng XRP thực tế được phát hành. Báo cáo lỗ hổng XRPL công bố ngày 9 tháng 10 cho biết không có bằng chứng lỗ hổng bị khai thác trên mạng công khai.

TokenPost trước đó đưa tin lỗ hổng tràn XRP đã được vá. Điểm mới được xác nhận lần này là khoảng cách giữa ngày công bố báo cáo lỗ hổng và ngày bỏ phiếu sáp nhập. Báo cáo được công bố 9 ngày sau cuộc họp cổ đông; hồ sơ công khai không xác nhận liệu cổ đông có được cung cấp giải thích riêng trước cuộc bỏ phiếu hay không.