Wystarczył paskudny błąd w oprogramowaniu, żeby system uznał wyimaginowane wpłaty XRP za prawdziwe. Napastnik wykorzystał okazję bez większych skrupułów. Najpierw stworzył w ten sposób niezabezpieczone tokeny, a następnie wymienił je na prawdziwe XRP znajdujące się w portfelu rezerwowym. Cała operacja zajęła mniej niż dwie godziny. No i rzecz jasna – niestety – przyniosła wymierny zysk sięgający 200 000 dolarów.
System widział XRP, których nie było
Problem dotyczył mostu łączącego XRP Ledger z blockchainem Coreum, który w marcu zmienił nazwę na tx. Mechanizm takiej konstrukcji w teorii jest dość prosty. Ktoś wpłaca XRP do specjalnego portfela rezerwowego, a po drugiej stronie otrzymuje odpowiadającą im liczbę tokenów reprezentujących te monety. Tym razem coś jednak poszło bardzo źle.
Ktoś znalazł sposób, aby oprogramowanie mostu zaksięgowało wpłaty XRP, mimo że kryptowaluta w rzeczywistości nigdy nie trafiła do portfela rezerwowego. System, jak gdyby nigdy nic, wyemitował więc tokeny, które nie miały żadnego pokrycia. Później wystarczyło odwrócić proces. Fake’owe aktywa wracały do mostu, a w zamian napastnik otrzymywał już prawdziwe XRP.
Według ustaleń CoinDesk z portfela wyprowadzono niemal 200 tysięcy XRP. Operacja rozpoczęła się 9 sierpnia o godzinie 19:16 i trwała około 97 minut. Około 745 tysięcy złotych zagarnięte w tyle, ile trwa mecz piłkarski z doliczonym czasem gry.
Most zatrzymany. Sprawą zajmuje się FBI
Eldorado się jednak skończyło. Operator potwierdził już exploit. Most został zatrzymany, a podatny fragment kodu zidentyfikowany i poprawiony. Firma zatrudniła również specjalistów zajmujących się szczegółową analizą blockchaina, a do Internet Crime Complaint Center działającego przy FBI trafiło formalne zgłoszenie dotyczące ataku.
Na razie nie wiadomo jednak czy i w jaki sposób ludzie odzyskają swoje pieniądze. Skradzione środki nie leżą na jednym portfelu. Według analizy zostały rozproszone w wielu miejscach, żeby utrudnić pracę śledczym.
Historia jest kolejnym przypomnieniem, że słabym punktem ekosystemu kryptowalut często nie musi być sam blockchain. XRP Ledger nie został w tym przypadku złamany. Problem znajdował się w infrastrukturze zbudowanej pomiędzy dwiema sieciami. I był banalny w skutkach: komputer zobaczył depozyt, którego nigdy nie było. Chwilę później z rezerwy zaczęły znikać prawdziwe pieniądze.
Czytaj więcej w dziale kryptowaluty na Bithub:
Wieloryby kupują Bitcoin. Wykonano transakcje za ponad miliard dolarów
Rosja znosi zakaz. Bank centralny przedstawia listę dozwolonych kryptowalut
Vitalik Buterin wskazuje nowy kierunek Ethereum. Nikogo nie powinien dziwić