Cosa è successo davvero?
Secondo CoinDesk [1], alcuni ricercatori hanno dimostrato un bug nell'XRP Ledger (la blockchain pubblica collegata al token XRP) che esisteva da circa dieci anni. Il bug consentiva a un pagamento di creare XRP spendibili senza che il mittente coprisse realmente quei fondi. In altre parole: in linea di principio era possibile generare valore "dal nulla".
La risposta è stata un rilascio software d'emergenza che ha corretto la vulnerabilità. Questo è il nucleo della parte confermata della storia.
Quanto è stato teoricamente grande il rischio?
Il titolo parla di "miliardi di dollari in XRP". Qui bisogna separare il potenziale dalla realtà. CoinDesk [1] descrive il meccanismo con cui sarebbe stato possibile creare fondi senza copertura. È la descrizione della capacità teorica del bug, non la conferma che un simile abuso su larga scala sia realmente avvenuto.
Se il bug sia mai stato realmente sfruttato in produzione, e in quale misura, non emerge in modo univoco dalla fonte disponibile. Finché la fonte primaria o il team dell'XRP Ledger non lo confermano, lo trattiamo come ignoto.
Perché è importante non associarlo alla vicenda dei portafogli hardware Ledger
In questi giorni circolano due notizie distinte che hanno in comune solo la parola "Ledger". Si tratta però di due cose del tutto indipendenti:
| Vicenda | Di cosa si tratta | Fonte |
|---|---|---|
| Bug XRP Ledger | Bug del protocollo XRP Ledger, correzione d'emergenza | [1] |
| Ledger (portafogli hardware) | Perdite di fondi collegate al rivenditore CryptoBilis nel Sud-Est asiatico | [3], [4] |
"XRP Ledger" è una blockchain. "Ledger" è un produttore di portafogli hardware. Sono soggetti diversi e incidenti diversi. La confusione qui è facile, per questo la segnaliamo esplicitamente.
Cosa succede nell'altra vicenda (Ledger hardware)?
Per completezza e per evitare confusione: secondo CryptoSlate [3] il volume delle perdite sospette collegate agli acquisti di dispositivi dal rivenditore autorizzato CryptoBilis si avvicinava a 90 milioni di dollari. In una dichiarazione del 9 ottobre [3], Ledger ha affermato di stare indagando sull'incidente e di aver chiesto al rivenditore la sospensione immediata della vendita e della spedizione dei dispositivi. Agli utenti che hanno acquistato negli ultimi circa 90 giorni l'azienda ha raccomandato cautela [3].
Cointelegraph [4] riporta che i ricercatori stimano i furti sospetti in un intervallo compreso tra circa 72 e 86 milioni di dollari. The Defiant [2] descrive il movimento di parte dei fondi rubati: secondo i registri su Tron è avvenuta una conversione di 2 milioni di USDT tramite il modulo di stabilizzazione USDD, mentre Bitquery stima che Tether abbia congelato circa 10 milioni di dollari su un cluster più ampio di indirizzi collegati al furto [2].
Queste stime variano tra le fonti (da 72 a 90 milioni di dollari), cosa normale per un'indagine in corso. Prendi i numeri come provvisori, non definitivi.
A cosa prestare attenzione in casi simili
Questo non è un consiglio su cosa fare con i soldi. È un elenco di cose che vale la pena seguire in questo tipo di eventi:
- Conferma ufficiale della portata. Per il bug dell'XRP Ledger manca ancora una conferma pubblicamente verificata su se e quanto sia stato realmente sfruttato.
- Separazione tra protocollo e azienda. Lo stesso nome non significa lo stesso incidente.
- Evoluzione delle stime dei danni. Nella vicenda dei portafogli hardware i numeri cambiano finché l'indagine è in corso.
- Congelamenti e movimento dei fondi. Azioni come il congelamento di USDT da parte di Tether [2][3] mostrano dove si spostano i fondi rubati e dove incontrano meccanismi di controllo.
Cosa è confermato e cosa no
Confermato: l'esistenza e la correzione del bug nell'XRP Ledger [1]. Incerto: se e in quale misura il bug sia stato realmente sfruttato. Vicenda separata: le perdite collegate al rivenditore di portafogli hardware Ledger [3][4], di origine completamente diversa.