Co się właściwie stało?
Według CoinDesk [1] badacze zademonstrowali błąd w XRP Ledger (publicznym blockchainie powiązanym z tokenem XRP), który istniał przez około dziesięć lat. Błąd umożliwiał, aby płatność wytworzyła zdatne do wydania XRP, mimo że nadawca faktycznie nie pokrywał tych środków. Innymi słowy: w zasadzie można było wygenerować wartość „z niczego”.
Reakcją było awaryjne wydanie oprogramowania, które naprawiło podatność. To jest trzon potwierdzonej części tej historii.
Jak duże było to ryzyko teoretycznie?
Tytuł mówi o „miliardach dolarów w XRP”. Tutaj trzeba oddzielić potencjał od rzeczywistości. CoinDesk [1] opisuje mechanizm, dzięki któremu można było wytworzyć środki bez pokrycia. To jest opis teoretycznej pojemności błędu, a nie potwierdzenie, że do takiego nadużycia na dużą skalę rzeczywiście doszło.
Czy błąd kiedykolwiek faktycznie wykorzystano w środowisku produkcyjnym i w jakim zakresie, z dostępnego źródła jednoznacznie nie wynika. Dopóki nie potwierdzi tego źródło pierwotne lub zespół XRP Ledger, traktujemy to jako nieznane.
Dlaczego ważne jest, by nie łączyć tego ze sprawą portfeli sprzętowych Ledger
W tych dniach krążą dwie różne wiadomości, które łączy jedynie słowo „Ledger”. Chodzi jednak o dwie zupełnie niezależne rzeczy:
| Sprawa | O co chodzi | Źródło |
|---|---|---|
| XRP Ledger bug | Błąd protokołu XRP Ledger, awaryjna poprawka | [1] |
| Ledger (portfele sprzętowe) | Straty środków powiązane ze sprzedawcą CryptoBilis w Azji Południowo-Wschodniej | [3], [4] |
„XRP Ledger” to blockchain. „Ledger” to producent portfeli sprzętowych. To różne podmioty i różne incydenty. Pomyłka jest tu łatwa, dlatego wspominamy o niej wyraźnie.
Co dzieje się w tej drugiej sprawie (sprzętowy Ledger)?
Dla pełności obrazu i aby nie doszło do zamieszania: według CryptoSlate [3] wolumen podejrzanych strat powiązanych z zakupami urządzeń od autoryzowanego sprzedawcy CryptoBilis zbliżał się do 90 milionów dolarów. Ledger w oświadczeniu z 9 października [3] podał, że bada incydent i poprosił sprzedawcę o natychmiastowe wstrzymanie sprzedaży oraz wysyłki urządzeń. Użytkownikom, którzy dokonali zakupu w ciągu ostatnich około 90 dni, firma zaleciła ostrożność [3].
Cointelegraph [4] podaje, że badacze szacują podejrzane kradzieże w zakresie około 72 do 86 milionów dolarów. The Defiant [2] opisuje ruch części skradzionych środków: według zapisów na Tronie doszło do konwersji 2 milionów USDT przez moduł stabilizacyjny USDD, przy czym Bitquery szacuje, że Tether zamroził około 10 milionów dolarów w ramach szerszego klastra adresów powiązanych z kradzieżą [2].
Te szacunki różnią się między źródłami (72 do 90 milionów dolarów), co jest typowe dla toczącego się śledztwa. Liczby traktuj jako bieżące, a nie ostateczne.
Na co zwracać uwagę przy podobnych przypadkach
To nie jest porada, co robić z pieniędzmi. To lista rzeczy, które przy tego typu zdarzeniach warto śledzić:
- Oficjalne potwierdzenie zakresu. W przypadku błędu XRP Ledger wciąż brakuje publicznie zweryfikowanego potwierdzenia, czy i w jakim stopniu został faktycznie wykorzystany.
- Oddzielenie protokołu od firmy. Ta sama nazwa nie oznacza tego samego incydentu.
- Rozwój szacunków szkód. W sprawie portfeli sprzętowych liczby się zmieniają, dopóki trwa śledztwo.
- Zamrożenie i ruch środków. Kroki takie jak zamrożenie USDT przez Tether [2][3] pokazują, dokąd przesuwają się skradzione środki i gdzie napotykają mechanizmy kontrolne.
Co jest potwierdzone, a co nie
Potwierdzone: istnienie i naprawa błędu w XRP Ledger [1]. Niejasne: czy i w jakim zakresie błąd został faktycznie wykorzystany. Osobna sprawa: straty powiązane ze sprzedawcą portfeli sprzętowych Ledger [3][4] o zupełnie innym pochodzeniu.