بنیاد XRP Ledger (XRPL) اعلام کرد یک آسیب پذیری «بحرانی» در یکی از تغییرات پیشنهادی این شبکه را پیش از فعال شدن روی شبکه اصلی شناسایی و برطرف کرده است؛ رخنه ای که می توانست بدون نیاز به کلید خصوصی، امکان اجرای تراکنش از حساب قربانیان و حتی تخلیه موجودی آنها را فراهم کند.
به نقل از گزارش بنیاد XRPL، این مشکل در ۱۹ فوریه توسط «پرانامیا کشکامات» مهندس امنیت شرکت سایبری Cantina و همچنین ربات امنیتی هوش مصنوعی این شرکت شناسایی شد. بنیاد XRPL توضیح داده این رخنه یک «نقص منطقی بحرانی» در بخش اعتبارسنجی امضاها بوده و به صورت مشخص به منطق بررسی امضا در کدی مربوط می شده که قرار بوده در قالب یک Amendment (اصلاحیه یا تغییر پیشنهادی) به نرم افزار هسته شبکه اضافه شود. طبق این گزارش، اگر این اصلاحیه بدون کشف مشکل فعال می شد، یک مهاجم می توانست تراکنش هایی را از طرف حساب های دیگر اجرا کند؛ سناریویی که در نهایت به سرقت دارایی ها یا تغییر وضعیت دفترکل منجر می شد.
بنیاد XRPL تاکید کرده که در زمان کشف، این اصلاحیه هنوز روی شبکه اصلی فعال نشده بود و تنها در مرحله رای گیری قرار داشت. این نهاد در بیانیه خود گفته است: «این اصلاحیه در فاز رای گیری بود و روی مین نت فعال نشده بود؛ بنابراین هیچ سرمایه ای در معرض خطر قرار نگرفت.» همین نکته باعث شده دامنه اثر این رخداد به سطح «پیشگیری» محدود بماند، نه یک حمله واقعی. با این حال، بنیاد XRPL هشدار داده اگر چنین رخنه ای در مقیاس بزرگ مورد سوء استفاده قرار می گرفت، علاوه بر احتمال سرقت، می توانست اعتماد کاربران و بازیگران اکوسیستم را به شکل جدی تضعیف کند و به اختلال در فعالیت های گسترده تر پیرامون این شبکه منجر شود.
در ادامه این گزارش، «هری مولاکال» مدیرعامل Cantina و Spearbit نیز به نقش ابزار هوش مصنوعی این شرکت اشاره کرده و گفته است: «باگ هانتر خودکار ما، Apex، این باگ بحرانی را پیدا کرد.» او اضافه کرده در صورت سوء استفاده، این رخداد می توانست از نظر ارزش دلاری در رده بزرگ ترین هک های امنیتی تاریخ قرار بگیرد و «نزدیک به ۸۰ میلیارد دلار» به طور مستقیم در معرض ریسک باشد؛ رقمی که به نظر می رسد به ارزش بازار XRP اشاره دارد. البته این عدد به معنای خسارت قطعی نیست، بلکه بیشتر برآوردی از اندازه ریسک بالقوه در سناریوی حمله گسترده است و خود بنیاد XRPL نیز تاکید کرده که قبل از فعال سازی، اصلاحیه متوقف و مشکل وصله شده است.
بر اساس توضیحات بنیاد XRPL، ابزار امنیتی Cantina AI این رخنه را با «تحلیل ایستا از کد rippled» شناسایی کرده و سپس گزارش افشای مسئولانه را ارسال کرده است تا تیم های فنی بتوانند آن را بررسی و اصلاح کنند. در نتیجه، به اعتبارسنج ها توصیه شد به این اصلاحیه رای منفی دهند و یک انتشار اضطراری با نسخه rippled 3.1.1 در ۲۳ فوریه منتشر شد تا از فعال شدن اصلاحیه جلوگیری کند. این روند نشان می دهد سازوکار رای گیری و فرآیند انتشار نسخه های نرم افزاری در XRPL چگونه می تواند در کنار گزارش دهی امنیتی، نقش یک سد دفاعی را قبل از رسیدن تغییرات مشکل دار به شبکه اصلی ایفا کند.
این خبر همچنین به روند رو به رشد استفاده از هوش مصنوعی در امنیت سایبری اشاره دارد؛ ابزاری که می تواند با بررسی خودکار کدها، خطاهایی را پیدا کند که ممکن است از چشم بررسی دستی دور بماند. در همین چارچوب، به نقل از گزارش Cointelegraph، شرکت Anthropic نیز در ۲۰ فوریه ابزار «Claude Code Security» را برای اسکن آسیب پذیری های کدنویسی معرفی کرده است. مجموع این تحولات نشان می دهد رقابت در حوزه اسکنرهای امنیتی مبتنی بر هوش مصنوعی در حال شدت گرفتن است و احتمالا در آینده نقش این ابزارها در کشف زودهنگام باگ های سطح پروتکل و اپلیکیشن های بلاکچینی پررنگ تر خواهد شد.
برای کاربران بازار ارز دیجیتال، این اتفاق یک یادآوری مهم است: حتی شبکه های باسابقه نیز در برابر ریسک های نرم افزاری مصون نیستند و مرحله رای گیری و فعال سازی تغییرات پروتکلی یکی از حساس ترین نقاط چرخه توسعه محسوب می شود. در عین حال، تاکید بنیاد XRPL بر «فعال نشدن اصلاحیه روی مین نت» نشان می دهد که بخش مهمی از مدیریت ریسک، به فرآیندهای حاکمیتی و واکنش سریع تیم های فنی و اعتبارسنج ها وابسته است.