Bug XRP pode ter permitido que hackers imprimissem bilhões em criptografia do nada

Uma das maiores redes de criptografia do mundo corrigiu um bug que poderia permitir que um invasor imprimisse criptografia falsificada do nada e a gastasse como se fosse real. De acordo com um relatório de divulgação de vulnerabilidade publicado no XRPL.org na sexta-feira, um estouro de número inteiro no mecanismo de pagamento do XRP Ledger poderia ter permitido que uma transação barata e fraudulenta cunhasse moedas além do fornecimento fixo da rede. É o mais recente de vários bugs de impressão de dinheiro em criptografia deste ano, incluindo um Falha no Zcash em junho e um Exploração de rede líquida no mês passado, que permitiu que os invasores trocassem moedas não garantidas por bitcoins reais.

Em termos de detalhes técnicos, veja como a exploração teria funcionado. Quando um pagamento consumia muitas ofertas da carteira de pedidos integrada do XRP Ledger, o mecanismo somava o XRP devido usando matemática de 64 bits sem verificação de estouro. Se o total ficasse muito grande, ele se reduziria a um número minúsculo, pagando integralmente os proprietários da oferta e cobrando quase nada do comprador.

O relatório de divulgação diz que o bug provavelmente remonta a 2015, quando o mecanismo de pagamento atual foi escrito.

Para obter lucro com esse bug, um invasor precisaria de apenas algumas centenas de contas postando ofertas com preços absurdos, um pagamento varrendo-as e algumas centenas de dólares em XRP em reservas reembolsáveis ​​mais taxas. “Um invasor poderia ter criado XRP gastável muito além do fornecimento total em uma única transação validada”, diz o relatório de divulgação. No momento em que este artigo foi escrito, a CoinGecko estimava o valor de todo o fornecimento circulante de XRP em pouco menos de US$ 88 bilhões. Dito isto, não está claro quanto valor real um hipotético invasor teria sido capaz de extrair ao vender grandes somas de XRP no mercado.

O pesquisador Cayden Liao relatou o bug por meio do programa de recompensas de bugs XRPL em 22 de setembro, e RippleX, braço de desenvolvimento da Ripple, o reproduziu em um servidor de teste privado antes de classificá-lo como crítico. Um liberação de emergência do software xrpld foi lançado em 25 de setembro. O lançamento também corrigiu um segundo bug menos grave no recurso Batch ainda não ativado do XRPL, que poderia ter interrompido a rede se permanecesse no local.

“Devido à natureza sensível à segurança da correção, o código-fonte desta versão ainda não foi publicado”, diziam as notas de versão, e o changelog descreveu o patch apenas como uma proteção aritmética inteira variada no mecanismo de pagamento e auxiliares de contabilidade. O código chegou ao GitHub na sexta-feira.

“A correção fornecida no xrpld 3.4.1. Não encontramos nenhuma evidência de que esse problema tenha sido explorado em qualquer rede pública”, afirma o relatório de divulgação, considerando o episódio uma vitória. “Descobertas como essa classe de questões há muito adormecidas são o que o programa (de recompensa por bugs) existe para produzir.”

Não é necessário voto

Normalmente, as alterações nas regras do XRP Ledger precisam de um voto do validador. “Se uma alteração receber mais de 80% de apoio por duas semanas, a alteração será aprovada e a alteração se aplicará permanentemente a todas as versões subsequentes do razão”, o Documentação XRPL explica, acrescentando que tais correções de bugs também exigem alterações.

Esta última correção para o bug da inflação pulou a votação, entrando em vigor em cada servidor após a atualização. “Esta é a primeira vez que uma mudança no processamento de transações foi deliberadamente implementada desta forma desde que o sistema de emendas foi introduzido há mais de dez anos”, diz o relatório de divulgação, argumentando que uma votação teria deixado um bug visível que poderia ser explorado por semanas. O relatório de divulgação admite que o atalho corria o risco de dividir a rede durante a atualização dos servidores. “Neste caso, uma interrupção da rede seria realmente preferível ao processamento de transações de exploração e à criação de um estado contábil incorreto que seria difícil de reverter”, afirma.

Por padrão, os servidores XRPL confiam duas listas de validadoresum publicado pela Fundação XRPL e outro pela Ripple. Ambos atualmente nomeiam os mesmos 35 validadores, um dos quais se identifica com um domínio ripple.com em Lista de Ripple. “Os editores não estão envolvidos na validação diária de novas transações, mas exercem um poder significativo na seleção de quais validadores são amplamente confiáveis”, diz o XRPL. documentação reconhece.

Mais de 80% desses 35 validadores estavam executando o binário de código fechado no dia do lançamento, de acordo com o relatório de divulgação. “Sou um dos 35 nós dUNL e tive a chance de recusar a atualização”, disse Daniel Keller, operador de validador e diretor de tecnologia da HashLabs. escreveu no X. “Eu baixei a lixeira, fiz a comparação e, com base na gravidade da correção, atualizei meu nó.”

O OG da criptografia centralizada

Algumas dezenas de operadores escolhidos a dedo que adotam uma mudança de regra não anunciada em um dia é exatamente o tipo de centralização da qual os críticos do XRP reclamam há muito tempo. Por exemplo, já em 2013, O primeiro desenvolvedor do Bitcoin, Greg Maxwell, argumentou que o design do validador do Ripple provavelmente deixaria os usuários confiando apenas em alguns nós grandestornando-o efetivamente um sistema centralizado, e que o XRP era basicamente apenas mais um altcoin pré-minerado.

Grande parte da criptografia agora está centralizada em torno blockchains corporativos e stablecoins emitidas centralmentemas Ripple é o OG da exploração centralizada de criptografia. De acordo com XRPL.orgtodos os 100 bilhões de XRP foram criados antes da empresa que se tornou Ripple ser formada, e os fundadores então doaram-lhe 80 bilhões. “Desde então, a empresa vendeu XRP regularmente, usou-o para fortalecer os mercados de XRP e melhorar a liquidez da rede e incentivou o desenvolvimento do ecossistema maior”, diz o site.

Advogado Preston Byrne argumentou que os fundadores concordaram em alocar 80% das moedas para a empresa no dia em que ela foi constituída em setembro de 2012, meses antes das primeiras transações do razão em 1º de janeiro de 2013. “Na minha opinião, a resposta é ‘sim, a Ripple criou o XRP, eles possuem a maior parte dele e foi emitido após a formação da empresa’”, escreveu ele.

Em dezembro de 2020, a SEC processou Ripple e dois executivos por supostamente levantarem mais de US$ 1,3 bilhão por meio de uma oferta de títulos não registrados. Após a vitória de Trump nas eleições de 2024, Ripple doou cerca de US$ 4,9 milhões em XRP ao seu comitê inaugural. Antes da eleição, o cofundador Chris Larsen doou mais de US$ 11,8 milhões para PACs pró-Harrisembora o diretor jurídico da Ripple, Stuart Alderoty, tenha dado pessoalmente US$ 300.000 em XRP para um Comitê de arrecadação de fundos Trump. Em agosto de 2025, a SEC e a Ripple desistiram conjuntamente dos seus apelosencerrando o caso com uma multa de US$ 125 milhões em vigor.

Alguns anos depois, Ripple disse à Assembleia do Estado da Califórnia que não precisamos de bitcoin. pic.twitter.com/rjRdPdGCo2

-Kyle Torpey (@kyletorpey) 24 de janeiro de 2025

Os Bitcoiners também ridicularizaram o Ripple por supostos ataques de marketing ao Bitcoin. Larsen, então presidente-executivo da Ripple, testemunhou anteriormente perante um comitê da Assembleia do Estado da Califórnia em 2015, em um painel sobre moeda virtual que também incluía Coinbase e Coin Center. “Não acreditamos que o mundo precise de outra moeda”, disse ele.

Em 2022, a fundação climática de Larsen foi o financiador inicial do Mude o código, não o clima campanha, que pressionou o Bitcoin a abandonar a prova de trabalho e mais tarde gerou o olhar de laser Caveira de Satoshi escultura. Depois que Ripple doou a caveira para a comunidade Bitcoin em 2025, Larsen distanciou a empresa do esforço. “A campanha não funcionou, e tudo bem! Nota: a Ripple não financiou esta campanha”, escreveu ele.

Notavelmente, Matt “Fortune Favors the Brave” Damon está programado para retornar à criptografia em um evento da Ripple no final deste mês, em uma continuação da longa tradição de lavagem de reputação em criptografia.

Não é a primeira exploração de impressão de dinheiro

A criptografia tem uma longa história quando se trata de bugs que podem permitir que um invasor imprima dinheiro do nada. Em 2010, um Bitcoin erro de estouro criou mais de 184 bilhões de bitcoins em uma transação antes que uma solução chegasse em poucas horas e a cadeia fosse bifurcada para apagá-la. Em 2018, os desenvolvedores do Bitcoin Core corrigiram silenciosamente um vulnerabilidade crítica à inflaçãoinicialmente divulgando-o apenas como um bug de negação de serviço.

Zcash secretamente corrigiu um bug de falsificação em 2018, e a falha de junho exigiu um soft fork de emergência e depois um hard fork. A Fundação Zcash não viu nenhuma evidência de criação de valor não autorizada, mas o pool protegido da Zcash não pode ser auditado de forma transparente como o Bitcoin. Os invasores da Liquid Network no mês passado mantiveram 598,5 bitcoins e exigiu uma recompensa de 10% por meio de mensagens postadas diretamente no blockchain Bitcoin.

Problema de IA da criptografia

Ao mesmo tempo, a caça a bugs alimentada por IA causou um calafrio na indústria. Na verdade, Taylor Hornby encontrou o bug do Zcash no início deste ano trabalhando com o modelo Opus 4.8 da Anthropic.

Na última quarta-feira, o pesquisador da Fundação Ethereum, Justin Drake, sugeriu que a IA poderia quebrar as assinaturas ECDSA do Bitcoin em questão de meses, uma afirmação que os especialistas em Bitcoin contestaram amplamente. Em maio, O cofundador do OpenZeppelin, Manuel Aráoz, disse que considera todo o DeFi inseguro. “Os agentes de codificação são sobre-humanos na detecção de vulnerabilidades, e a segurança dos contratos inteligentes é muito assimétrica: os defensores precisam corrigir todos os bugs, enquanto os invasores precisam de apenas uma exploração para roubar fundos”, explicou ele.

O relatório de divulgação credita Liao ao lado de Veria AI, um produto de Laboratórios Veriaa startup que ele cofundou. “Veria AI é um pentester autônomo: ele mapeia toda a sua superfície de ataque, prova explorações reais e elabora a correção”, disse a empresa. site diz. Nenhum dos dois disse como o bug do XRPL foi encontrado, mas Veria já disse anteriormente escrito sobre como sua IA encontrou um bug de falsificação de prova no blockchain Aleo que rendeu uma recompensa de US$ 65.000.

Explorações de Bitcoin e criptografia tornaram-se mais problemáticos nos últimos mesesà medida que as carteiras de hardware, o padrão ouro para autocustódia e armazenamento offline, foram atacadas. Uma falha de firmware nas carteiras de hardware Coldcard da Coinkite permitiu que invasores drenassem mais de US$ 100 milhões em bitcoin em julho e, na sexta-feira, Ledger começou a investigar fundos drenados de dispositivos vendidos por um revendedor autorizado do Sudeste Asiático, em uma suspeita de ataque à cadeia de suprimentos.

Depois que seu bug foi divulgado em junho, o ZEC da Zcash caiu cerca de 60% em alguns dias, mas o XRP não mudou muito desde que o último bug foi revelado.