BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Компания Ripple экстренно закрыла уязвимость в XRP Ledger, которая почти десять лет позволяла теоретически создавать XRP буквально из ничего. Специалисты по безопасности показали, что одной грамотно собранной платёжной транзакцией можно было получить токены, за которые покупатель фактически не платил, нарушая главный принцип сети - фиксированный выпуск в 100 миллиардов XRP. Разработчики подтверждают, что следов реальной эксплуатации на публичной сети не нашли, но сам факт существования такой дыры заставляет иначе взглянуть на безопасность инфраструктуры, которой пользуются банки и финтех-компании.
Как десятилетняя ошибка пряталась в коде XRP Ledger
Баг, по оценке исследователей, появился ещё в 2015 году и жил в коде незамеченным почти десятилетие. Нашли его исследователь Кейден Лиао и команда Veria AI, после чего 22 сентября внутренне сообщили о проблеме. Инженеры RippleX, подразделения разработки Ripple, воспроизвели атаку на изолированном сервере и подтвердили, что созданные таким образом токены действительно можно было потратить в следующей транзакции. Это был не теоретический риск на бумаге, а рабочий сценарий, который удалось повторить.
Все 100 миллиардов XRP были выпущены единовременно при запуске леджера в 2012 году, и программный код сети изначально написан так, чтобы новые токены никогда не появлялись сверх этого лимита. Именно поэтому находка оказалась настолько чувствительной - она бьёт прямо в основу доверия к активу, на который институциональные игроки рассчитывают как на актив с предсказуемым, жёстко ограниченным предложением.
Механизм атаки: встроенная биржа XRP Ledger
Схема эксплуатации строилась вокруг встроенной децентрализованной биржи сети, где аккаунты выставляют офферы на обмен одного токена на другой. Теоретически атакующий мог открыть сотни аккаунтов, и каждый из них выставлял предложение продать крошечное количество какого-нибудь токена в обмен на необычно большое количество XRP. Затем одной-единственной платёжной транзакцией скупались все эти офферы сразу.
Суммарный долг по XRP получался настолько большим, что программный код леджера просто не мог корректно его посчитать. В результате аккаунты-продавцы получали оплату в полном объёме, а покупающий аккаунт списывал почти нулевую сумму - и у атакующего на руках оказывались токены, которых мгновение назад не существовало.
Мы не нашли доказательств того, что уязвимость эксплуатировалась в публичной сети XRP Ledger.
Самое неприятное, что встроенные защитные механизмы сети здесь не срабатывали. После каждой транзакции леджер проверяет, не появилось ли новых XRP сверх лимита, но эта проверка опиралась на тот же самый неверно посчитанный итог и ничего не замечала. А отдельное ограничение на то, сколько XRP может получить один аккаунт, тоже не включалось, потому что атака размазывала новые токены по сотням разных адресов.
Почему для испытаний хватило тестовой сети и пары сотен XRP
Чтобы проверить атаку без риска для реальных денег, исследователи работали в тестовой среде. Там же, где разработчики обычно получают бесплатные тестовые токены через xrpfaucet, Кейден Лиао и команда Veria AI воспроизвели всю цепочку транзакций, прежде чем сообщить о находке RippleX. Для самой схемы требовалось буквально несколько сотен XRP на открытие аккаунтов, причём большую часть этой суммы в итоге можно было вернуть, плюс стандартные транзакционные комиссии.
Исправление вышло 25 сентября в составе релиза серверного программного обеспечения xrpld 3.4.1 - без публичного раскрытия деталей того, что именно было устранено. Сообщество, которое следит за безопасностью сети через специализированные ресурсы вроде xrpsec, давно призывало проводить более глубокий независимый аудит именно встроенной биржи XRP Ledger, и этот случай лишний раз показал, что такие призывы не были паникой на пустом месте.
Курс ripple, кошелек и цена: что волнует держателей XRP
Новости об уязвимостях обычно подогревают интерес не только к технической стороне, но и к рынку. Параллельно с разбором бага заметно растёт число запросов вида kurs ripple, ripple цена, ripple к доллару и ripple к рублю - людям важно понять, как инцидент повлияет на стоимость актива. Пока XRP торгуется в своём обычном диапазоне, и даже 1 ripple в рублях остаётся сопоставим с ценой до публикации отчёта о баге.
Отдельная путаница традиционно возникает вокруг терминов. XRP - это токен сети XRP Ledger, а ripple компания, разработавшая саму технологию, не имеет публичных акций в привычном смысле, хотя в поисковиках часто спрашивают именно ripple акции, путая firma ripple с торгуемым активом. То же касается пары xrpeur на биржах - она отражает курс токена к евро, а не финансовые показатели самой компании.
После любых новостей про баги растёт и число запросов на тему безопасного хранения - официальный кошелек ripple, ripple кошелек официальный сайт, просто ripple кошелек. Совет здесь всегда один и тот же. Программы для управления XRP стоит скачивать только с проверенных источников и никогда не вводить сид-фразу на сторонних сайтах, тем более что держатели XRP уже становились целью фишинговых схем, как в истории с Xaman Wallet, у пользователей которого пытались выманить приватные ключи.
Интерес к теме заметен и за пределами русскоязычного сегмента - в поисковых подсказках встречаются варианты ripple kursas, ripple grafikon и ripple kaufen kreditkarte, что говорит о по-настоящему глобальном масштабе внимания к XRP Ledger. Тем, кто следит за темой через агрегаторы типа ripple news ru, этот случай стоит держать в голове как повод вспомнить и более ранние инциденты, например историю с Rippex - биржей, которая ещё в 2014 году сама стала жертвой кражи XRP.
Баги, которые ИИ находит быстрее людей
Этот случай укладывается в заметную тенденцию последних месяцев - давно забытые или просто незамеченные уязвимости в крипто-инфраструктуре всё чаще всплывают благодаря инструментам на базе искусственного интеллекта. Летом похожим образом нашли баг в кошельках Coldcard, который привёл к краже как минимум 1367 BTC, а чуть позже разработчикам Core Lightning пришлось просить операторов биткоин-нод временно отключаться из-за найденных уязвимостей. Похожая логика применяется и в других сферах безопасности - ИИ-агенты всё чаще берут на себя роль не просто помощников, а полноценных аналитиков рисков, способных заметить то, что годами ускользало от человеческого глаза.
На фоне этого растёт и внимание к более фундаментальным угрозам инфраструктуре. Например, Европол ранее предупреждал, что квантовые компьютеры в перспективе смогут взламывать криптокошельки, а разработчики Zcash уже ставят перед собой задачу перейти на квантово-устойчивые платежи в начале следующего года. Для сети с фиксированным предложением токенов, как XRP Ledger, любая брешь, способная нарушить математику эмиссии, автоматически становится вопросом не только технической гигиены, но и доверия со стороны крупных институциональных пользователей.
Что это значит для держателей XRP
Главный вывод из истории простой. Код сети Ripple работает годами без видимых проблем, но это не гарантия того, что в нём нет критических ошибок - просто до сих пор никто не собрал правильную комбинацию условий, чтобы их заметить. RippleX закрыла конкретную дыру достаточно быстро после получения отчёта, и публичная сеть, судя по всему, не пострадала. Но сам эпизод - хороший повод держателям XRP следить за официальными каналами разработчиков, обновлять используемое программное обеспечение и относиться с осторожностью к любым предложениям обменять токены на подозрительно выгодных условиях, особенно если схема завязана на множество мелких аккаунтов и необычно крупные офферы.
