أعلن فريق Veria أن وكيله الذكي اكتشف ثغرة في سجل XRP الموزّع (XRP Ledger) كانت تسمح لأي مهاجم بلا صلاحيات بإنشاء 18 تريليون عملة بمعاملة واحدة، أي 184 ضعف المعروض الكلي. وأُصلحت الثغرة قبل أي استغلال معروف.
ما الذي وُجد بالضبط؟
يبلغ المعروض الثابت لـ XRP مئة مليار عملة، ولا تعدين فيها ولا تخزين لكسب العوائد، وكل معاملة تحرق رسمًا صغيرًا، فيُفترض أن يتناقص المعروض فقط. الثغرة كسرت هذه القاعدة، وكانت ستعرّض القيمة السوقية كاملة (نحو 94 مليار دولار) للخطر. يقول الفريق إنها أكبر من أي اختراق عُرف في عالم العملات المشفرة، فأكبر هجوم مسجّل (Bybit) بلغ 1.5 مليار دولار.
عمر الثغرة قرابة عقد، من شيفرة كُتبت في 2015 و2017، في قاعدة شيفرة من الأكثر مراجعةً في المجال. ويرجّح الفريق أن السبب في صمودها كل هذه المدة أنها سلسلة من ثغرتين منخفضتي الخطورة لو أُخذت كل واحدة وحدها.
كيف وجدها الوكيل؟
وجّه الفريق وكيله إلى rippled، البرنامج الذي يشغّل الشبكة. اكتشف الوكيل الثغرتين، وربط بينهما، وبنى استغلالًا يعمل على شبكة محلية للإثبات. ويقول الفريق إنه جرّب بعد الإبلاغ توجيه نموذجَي Astra وMythos إلى الشيفرة نفسها، ولم يعثرا عليها.
أما الإصلاح فكان سريعًا: بلاغ في 22 سبتمبر أُكِّد في اليوم نفسه، ودمج للإصلاح في 23، وإصدار في 25 مع ترقية أكثر من 80% من المدقّقين. وتخطّت الشبكة لأول مرة منذ أكثر من عشر سنوات مسار التصويت المعتاد على التعديلات الذي يستغرق أسبوعين تقريبًا، وأصدرت إصلاحًا طارئًا. ولم تجد RippleX دليلًا على استغلالها.
السيف ذو الحدّين
المكافأة 250 ألف دولار، وهي الحد الأقصى في برنامج المكافآت، ويقول الفريق إنها الأكبر لثغرة اكتُشفت بالكامل بواسطة وكيل ذكاء اصطناعي. لكن الدرس الأهم في كلامهم أن الأدوات نفسها متاحة للمهاجمين، وأن الشيفرة العتيقة صارت أرخص في الفحص من أي وقت مضى. فالسؤال الذي يبقى: هل يتبنّى المدافعون هذه الأدوات بالسرعة نفسها؟
الكلمات المفتاحية: XRP، أمن سيبراني، ثغرات، وكلاء الذكاء الاصطناعي، مكافآت الثغرات
المصدر: مقال فريق Veria على X — https://x.com/ycombinator/status/2109127137446023448
No comments yet