XRP Ledger Menyembunyikan Bug Pemalsuan Sejak 2015
Pengelola mengungkap dan menambal integer overflow yang bisa memungkinkan penyerang mencetak XRP yang bisa dibelanjakan melebihi total pasokan. Pengembang mengatakan tidak ada bukti celah itu pernah dieksploitasi.
Sebuah integer overflow di mesin pembayaran XRP Ledger tidak terdeteksi sejak 2015 dan bisa menciptakan XRP palsu. Perbaikannya dirilis dalam versi 3.4.1 pada 25 September tanpa tanda-tanda eksploitasi.
Overflow berumur satu dekade
Pengelola XRP Ledger merilis pengungkapan pada Jumat: seorang peneliti melaporkan bug kritis melalui program bug bounty XRPL pada September. Cacatnya? Sebuah integer overflow di mesin pembayaran. Bug itu tersembunyi sejak mesin pembayaran saat ini ditulis pada 2015.
Ini gosipnya: ketika satu pembayaran menelusuri ratusan penawaran order-book yang dirancang khusus, total yang harus dibayar pembeli bisa melebihi angka maksimum yang disimpan sistem. Angka itu berbalik menjadi hampir nol. Penjual dibayar penuh. Pembeli hampir tidak membayar apa pun. Selisihnya? XRP baru yang seharusnya tidak pernah ada.
Lebih buruk lagi, pemeriksaan keamanan ledger “tidak ada XRP yang dibuat” memakai aritmetika rusak yang sama, jadi ikut berputar dan tidak menangkap apa pun. Pengelola mengatakan penyerang bisa menciptakan XRP yang bisa dibelanjakan jauh melebihi total pasokan dalam satu transaksi, lalu memindahkannya atau mengirimnya ke bursa.
Tidak ada eksploitasi, tapi perbaikan cepat
Tidak ada bukti siapa pun benar-benar menggunakannya, kata para insinyur RippleX. Pembayaran normal tidak pernah mendekati memicu overflow, itulah sebabnya bug ini mengendap tanpa disadari.
Patch dirilis dalam versi 3.4.1 pada 25 September. Lebih dari 80% validator tepercaya menjalankannya hari itu. Biasanya perubahan butuh pemungutan suara validator selama dua minggu. Yang ini melewati proses itu untuk pertama kalinya dalam lebih dari satu dekade. Pengelola mengatakan tingkat keparahannya membenarkan langkah itu, karena merilis perbaikan itu sebagai open source lebih awal akan mengekspos bug itu saat masih bisa dieksploitasi selama berminggu-minggu.
Intinya: ledger yang sudah teruji habis-habisan pun bisa menyembunyikan bug berbahaya selama bertahun-tahun, tapi patch cepat menunjukkan kenapa bug bounty itu penting.
Ringkasan ditulis oleh Oh Cannot dari laporan asli Decrypt. Bukan saran keuangan. Diterjemahkan dari bahasa Inggris dengan AI. Baca versi bahasa Inggris.
