XRP लेजर ने समय रहते एक बड़ी सुरक्षा खामी को ठीक कर लिया है।

एक गंभीर सुरक्षा खामी एक्सआरपी लेजर का प्रस्तावित बैच संशोधन से हमलावर पीड़ित खातों से अनधिकृत लेनदेन कर सकते थे, और वह भी बिना निजी कुंजी की आवश्यकता के। यह बग 19 फरवरी को संशोधन के मेननेट पर लाइव होने से पहले ही पकड़ लिया गया, जिसका मतलब है कि किसी भी धनराशि से समझौता नहीं हुआ। कैंटीना के सीईओ हरि मुलाकल ने इसे ब्लॉकचेन इतिहास में "डॉलर मूल्य के हिसाब से सबसे बड़े सुरक्षा उल्लंघन" का संभावित दावेदार बताया, जबकि XRP का बाजार पूंजीकरण लगभग 80 अरब डॉलर है।

आखिर वह बग क्या था?

Rippled संस्करण 3.1.0 में बैच लेनदेन के लिए हस्ताक्षर-सत्यापन प्रक्रिया के भीतर यह भेद्यता मौजूद थी। सत्यापन लूप में एक तार्किक त्रुटि ने एक ऐसी स्थिति उत्पन्न कर दी जिसका हमलावर फायदा उठा सकते थे।

व्यवहार में यह इस प्रकार काम करता था:

• हमलावर पीड़ित के खाते से जुड़ी आंतरिक प्रक्रियाओं (भुगतान, खाता संशोधन) को शामिल करते हुए एक बैच लेनदेन तैयार कर सकता है।
• इस लेनदेन में जाली हस्ताक्षरकर्ता का उपयोग किया जाएगा।
• त्रुटिपूर्ण सत्यापन प्रक्रिया एक गैर-मौजूद खाते की जाँच करेगी, जिससे समय से पहले ही बाहर निकलने का विकल्प मिलेगा और उचित सत्यापन प्रक्रिया छूट जाएगी।
• फिर अनधिकृत गतिविधियाँ वैध गतिविधियों की तरह ही संपन्न हो जाती थीं।

यदि सक्रियण के बाद इसका दुरुपयोग किया जाता, तो हमलावर खातों को उनके आरक्षित शेष तक खाली कर सकते थे, अकाउंटसेट या ट्रस्टसेट जैसे लेनदेन के माध्यम से खाता बही की स्थिति को बदल सकते थे, और संभावित रूप से खातों को पूरी तरह से हटा भी सकते थे।

इसे कैसे पकड़ा गया?

सुरक्षा इंजीनियर प्रणम्य केशकामत से Cantinaब्लॉकचेन पर केंद्रित एक सुरक्षा फर्म ने अपने एआई-संचालित ऑडिटिंग टूल एपेक्स के साथ मिलकर इस खामी का पता लगाया। यह खोज रिपल्ड कोडबेस के स्थैतिक विश्लेषण के दौरान हुई।

एपेक्स, जिसे एक स्वायत्त एआई सुरक्षा लेखा परीक्षक के रूप में वर्णित किया गया है, ने तार्किक त्रुटि को चिह्नित किया। इसके बाद केशकामात और उनकी टीम ने एक जिम्मेदार प्रकटीकरण रिपोर्ट प्रस्तुत की। रिपल की इंजीनियरिंग टीमों ने प्रूफ-ऑफ-कॉन्सेप्ट और यूनिट परीक्षणों का उपयोग करके इसे तुरंत सत्यापित किया।

यह एआई-सहायता प्राप्त सुरक्षा का एक ठोस उदाहरण है जो केवल वादे नहीं बल्कि परिणाम भी देती है।

प्रतिक्रिया कितनी जल्दी आई?

खोज से लेकर सार्वजनिक प्रकटीकरण तक, पूरी प्रक्रिया में एक सप्ताह का समय लगा।

19 फरवरी को, जिस दिन कैंटीना ने खामी की सूचना दी, उसी दिन यूएनएल के सत्यापनकर्ताओं को बैच संशोधन पर "नहीं" में मतदान करने की सलाह दी गई। कई लोगों ने तुरंत वीटो लगा दिया।

आशाजनक परियोजनाओं की खोज करें...

आशाजनक परियोजनाएं...

(विज्ञापन)

लेख जारी है...

23 फरवरी तक, Ripple ने Rippled संस्करण 3.1.1 के साथ एक आपातकालीन पैच जारी किया। इस अपडेट में बैच संशोधन को असमर्थित घोषित किया गया है और सक्रियण को रोकने के लिए fixBatchInnerSigs नामक एक अस्थायी समाधान पेश किया गया है।

26 फरवरी को, एक्सआरपीएल लैब्स प्रकाशित सुरक्षा खामियों से संबंधित पूरी जानकारी सार्वजनिक रूप से जारी की जाएगी।

आगे क्या होता है?

बैच संशोधन अभी खत्म नहीं हुआ है। XRPL विकास टीम BatchV1_1 नामक एक नए संस्करण पर काम कर रही है। अपडेटेड वर्जन में अर्ली-एग्जिट शर्तें हटा दी गई हैं, ऑथराइजेशन सुरक्षा उपाय जोड़े गए हैं और साइनिंग जांच को और सख्त बनाया गया है। अभी तक इसकी रिलीज की कोई निश्चित तारीख तय नहीं हुई है और कोड की समीक्षा जारी है।

वैलिडेटर्स को तुरंत Rippled 3.1.1 में अपग्रेड कर लेना चाहिए। सामान्य उपयोगकर्ताओं को कोई कार्रवाई करने की आवश्यकता नहीं है क्योंकि यह खामी कभी सक्रिय नहीं हुई, लेकिन BatchV1_1 अपडेट के लिए आधिकारिक XRPL चैनलों पर नज़र रखना उचित रहेगा।

यह बात क्यों करता है?

यह उन कुछ बाल-बाल बचने वाली घटनाओं में से एक है जिन पर पूरे उद्योग को ध्यान देना चाहिए। यह बग उस कोड में मौजूद था जिस पर मेननेट सक्रियण के लिए सक्रिय रूप से मतदान चल रहा था। अगर समय में कुछ दिनों का भी अंतर होता, तो परिणाम बिल्कुल अलग हो सकता था।

इस गड़बड़ी को पकड़ने में एआई टूल की अहम भूमिका होना अपने आप में महत्वपूर्ण है। क्रिप्टो जगत में थर्ड-पार्टी ऑडिट हमेशा से ही महत्वपूर्ण रहे हैं, लेकिन एआई-सहायता प्राप्त ऑडिट यह साबित कर रहे हैं कि वे उन खामियों को भी पकड़ सकते हैं जिन्हें नियमित कोड समीक्षा के दौरान मानवीय समीक्षक नज़रअंदाज़ कर सकते हैं।

XRPL लैब्स ने स्वीकार किया कि इस घटना से उनके कोड समीक्षा प्रक्रियाओं में निरंतर सुधार होगा। अरबों डॉलर के मूल्य का प्रबंधन करने वाले एक इकोसिस्टम के लिए यह अनिवार्य है, यह कोई विकल्प नहीं है। यह अस्तित्व का सवाल है।

सूत्रों का कहना है:

• CoinTelegraph कैंटीना के सुरक्षा इंजीनियर और एआई टूल एपेक्स द्वारा की गई खोज पर रिपोर्टिंग, जिसमें सीईओ हरि मुलाक्कल के बयान भी शामिल हैं।
• XRPL लैब्स ब्लॉग तकनीकी विवरण, निवारण समयसीमा और सत्यापनकर्ता की अनुशंसाओं सहित आधिकारिक भेद्यता प्रकटीकरण रिपोर्ट