شبکه XRP Ledger، یکی از بزرگترین زیرساخت‌های دفترکل توزیع‌شده در جهان، به‌تازگی با یک آسیب‌پذیری بحرانی مواجه شد که می‌توانست به مهاجمان اجازه دهد با بهره‌برداری از یک «سرریز عدد صحیح» (Integer Overflow)، توکن‌های XRP غیرواقعی خلق کرده و عرضه کل شبکه را دستکاری کنند. این رویداد، بحث‌های گسترده‌ای را پیرامون امنیت کدهای قدیمی و ماهیت متمرکز حکمرانی در شبکه‌های بلاک‌چینی به راه انداخته است.
مکانیسم فنی آسیب‌پذیری: سرریز عدد صحیح در موتور پرداخت
این باگ که ریشه در کدهای اولیه سال ۲۰۱۵ دارد، در موتور پردازش تراکنش‌های XRP Ledger نهفته بود. زمانی که یک تراکنش پرداخت، چندین سفارش موجود در دفتر سفارشات (Order Book) داخلی شبکه را مصرف می‌کرد، موتور پرداخت مجموع XRPهای بدهکار را با استفاده از محاسبات ۶۴ بیتی بدون بررسی سرریز (Overflow Check) محاسبه می‌کرد. در صورتی که مبلغ نهایی از ظرفیت عددی ۶۴ بیتی فراتر می‌رفت، مقدار آن به یک عدد بسیار کوچک تبدیل می‌شد؛ به این معنی که صاحب سفارش تسویه کامل را دریافت می‌کرد، اما خریدار تقریباً هزینه‌ای پرداخت نمی‌کرد. این شکاف می‌توانست راه را برای ضرب سکه‌های جدید و فراتر از سقف تعیین‌شده در پروتکل هموار سازد.
فرآیند اصلاح اضطراری و عبور از سیستم رای‌گیری
نکته قابل توجه در این رخداد، نحوه اعمال وصله امنیتی است. طبق قوانین حاکمیتی XRP Ledger، تغییرات در شبکه معمولاً نیازمند رای‌گیری اعتبارسنج‌ها (Validators) است که فرآیندی زمان‌بر محسوب می‌شود. با این حال، به دلیل شدت بحران و احتمال بهره‌برداری فوری، تیم توسعه‌دهنده RippleX این اصلاحیه را بدون رای‌گیری رسمی در نسخه xrpld 3.4.1 منتشر کرد. این اقدام، اگرچه شبکه را از خطر فروپاشی ایمن کرد، اما انتقادات شدیدی را درباره تمرکزگرایی و قدرت مطلق اپراتورهای نود در تصمیم‌گیری‌های شبکه به همراه داشت.
نقش هوش مصنوعی در شناسایی نقاط ضعف امنیتی
این باگ توسط «کیدن لیائو» و با استفاده از ابزار Veria AI کشف شد. این ابزار به عنوان یک تست‌کننده نفوذ خودکار عمل کرده و نشان‌دهنده عصر جدیدی در امنیت نرم‌افزار است. در حالی که مهاجمان از مدل‌های پیشرفته برای شناسایی حملات استفاده می‌کنند، مدافعان نیز مجبور به استفاده از سیستم‌های مبتنی بر AI برای شناسایی آسیب‌پذیری‌های پیچیده قبل از وقوع فاجعه هستند.
مشخصات فنی و تحلیل رخداد
- نوع آسیب‌پذیری: Integer Overflow در موتور پرداخت.
- تاریخ کشف: ۳۱ شهریور ۱۴۰۴ (۲۲ سپتامبر ۲۰۲۵).
- نسخه اصلاحی: xrpld 3.4.1.
- مکانیزم تاثیر: امکان ایجاد XRP خارج از عرضه کل شبکه در یک تراکنش واحد.
- وضعیت شبکه: هیچ شواهدی مبنی بر بهره‌برداری از این باگ در شبکه اصلی گزارش نشده است.
نتیجه‌گیری
این حادثه یادآور اهمیت بازبینی کدهای قدیمی در پروژه‌های بلاک‌چینی است. کدهایی که سال‌ها بدون مشکل کار کرده‌اند، ممکن است با ظهور ابزارهای تحلیل کد خودکار یا تغییر در الگوهای معاملاتی، به کانون تهدیدات تبدیل شوند. شفافیت در فرآیند Patching و تعادل بین سرعت پاسخگویی امنیتی و تمرکزگرایی، چالش‌هایی است که تمامی پروژه‌های بزرگ زیرساخت بلاک‌چین در آینده با آن روبرو خواهند بود.
