Čo sa vlastne stalo?
Podľa CoinDesku [1] výskumníci demonštrovali chybu v XRP Ledgeri (verejný blockchain spojený s tokenom XRP), ktorá existovala približne desať rokov. Chyba umožňovala, aby platba vytvorila minuteľné XRP bez toho, aby odosielateľ tieto prostriedky skutočne kryl. Inými slovami: v princípe sa dalo vygenerovať hodnotu „z ničoho“.
Reakciou bol núdzový software release, ktorý zraniteľnosť opravil. Toto je jadro potvrdenej časti príbehu.
Aké veľké riziko to teoreticky bolo?
Titulok hovorí o „miliardách dolárov v XRP“. Tu je potrebné oddeliť potenciál od reality. CoinDesk [1] popisuje mechanizmus, ktorým by bolo možné vytvoriť prostriedky bez krytia. To je popis teoretickej kapacity chyby, nie potvrdenie, že k takému zneužitiu vo veľkom skutočne došlo.
Či bola chyba niekedy reálne zneužitá v produkcii, a v akom rozsahu, z dostupného zdroja jednoznačne nevyplýva. Kým to primárny zdroj alebo tím XRP Ledgeru nepotvrdí, vedieme to ako neznáme.
Prečo je dôležité nespájať to s kauzou hardvérových peňaženiek Ledger
V týchto dňoch kolujú dve odlišné správy, ktoré spája len slovo „Ledger“. Ide však o dve úplne nezávislé veci:
| Kauza | O čo ide | Zdroj |
|---|---|---|
| XRP Ledger bug | Chyba protokolu XRP Ledger, núdzová oprava | [1] |
| Ledger (hardvérové peňaženky) | Straty prostriedkov napojené na predajcu CryptoBilis v juhovýchodnej Ázii | [3], [4] |
„XRP Ledger“ je blockchain. „Ledger“ je výrobca hardvérových peňaženiek. Sú to rôzne subjekty a rôzne incidenty. Zámena je tu ľahká, preto ju spomíname výslovne.
Čo sa deje v tej druhej kauze (hardvérový Ledger)?
Pre úplnosť a aby nedošlo k mýleniu: podľa CryptoSlate [3] sa objem podozrivých strát spojených s nákupmi zariadení od autorizovaného predajcu CryptoBilis blížil k 90 miliónom dolárov. Ledger vo vyhlásení z 9. októbra [3] uviedol, že incident vyšetruje a predajcu požiadal o okamžité pozastavenie predaja a expedície zariadení. Používateľom, ktorí nakúpili v posledných približne 90 dňoch, firma odporučila opatrnosť [3].
Cointelegraph [4] uvádza, že výskumníci odhadujú podozrivé krádeže v rozsahu zhruba 72 až 86 miliónov dolárov. The Defiant [2] popisuje pohyb časti ukradnutých prostriedkov: podľa záznamov na Trone prebehla konverzia 2 miliónov USDT cez stabilizačný modul USDD, pričom Bitquery odhaduje, že Tether zmrazil okolo 10 miliónov dolárov naprieč širším klastrom adries spojených s krádežou [2].
Tieto odhady sa medzi zdrojmi líšia (72 až 90 miliónov dolárov), čo je pri prebiehajúcom vyšetrovaní bežné. Čísla ber ako priebežné, nie finálne.
Na čo si pri podobných prípadoch dávať pozor
Toto nie je rada, čo robiť s peniazmi. Je to zoznam vecí, ktoré sa pri tomto type udalostí oplatí sledovať:
- Oficiálne potvrdenie rozsahu. Pri chybe XRP Ledgeru zatiaľ chýba verejne overené potvrdenie, či a nakoľko bola reálne zneužitá.
- Oddelenie protokolu od firmy. Rovnaké meno neznamená rovnaký incident.
- Vývoj odhadov škôd. Pri kauze hardvérových peňaženiek sa čísla menia, kým vyšetrovanie beží.
- Zmrazenie a pohyb prostriedkov. Kroky ako zmrazenie USDT zo strany Tether [2][3] ukazujú, kam sa ukradnuté prostriedky presúvajú a kde narážajú na kontrolné mechanizmy.
Čo je potvrdené a čo nie
Potvrdené: existencia a oprava chyby v XRP Ledgeri [1]. Nejasné: či a v akom rozsahu bola chyba reálne zneužitá. Samostatná kauza: straty napojené na predajcu hardvérových peňaženiek Ledger [3][4] s úplne odlišným pôvodom.