Actualización sobre la explotación del puente XRP: tx identifica falla y alerta al FBI

Tx informó el 12 de agosto que su puente XRPL fue explotado el 9 de agosto después de que un atacante abusara de una lógica defectuosa de detección de depósitos, drenando XRP de la reserva del puente.

Resumen

• Tx dice que los atacantes robaron 198,715.88 XRP tras explotar una falla en la lógica de verificación de depósitos del puente.
• El puente XRPL permanece detenido mientras los desarrolladores revisan las actualizaciones de seguridad y las posibles opciones de compensación para los usuarios.
• Los atacantes convirtieron el XRP robado en ETH antes de redirigir los fondos a través de THORChain y Tornado Cash posteriormente.
• Tx presentó una queja al IC3 del FBI con registros de transacciones e información adicional que identifica a los atacantes.
• Otros activos puenteados permanecen completamente respaldados, mientras que el XRP puenteado actualmente carece de respaldo completo.

El líder técnico Reza Bashash estimó la cantidad robada en 198,715.88 XRP. El puente permanece detenido mientras el equipo evalúa opciones de recuperación y fortalece el software afectado, según su última publicación.

La empresa dijo que la falla provocó que las transacciones que nunca entregaron XRP al puente se registraran como depósitos. Esto permitió que el XRP puenteado no respaldado se acuñara en la cadena de tx. El atacante luego retiró XRP real de la billetera de reserva contra esos saldos.

Tx dice que las verificaciones de destino fallaron en el relayer del puente

Tx dijo que la vulnerabilidad estaba en el software del puente y no en el XRP Ledger en sí. Bashash describió el problema como un error en la lógica del relayer de XRPL que involucra pagos en diferentes monedas y la función DefaultRipple. El fallo central, según la empresa y el análisis independiente del libro mayor, fue la insuficiente validación del destino.

Los relayers aceptaron transacciones que llevaban el memo esperado del puente sin confirmar que el destino era realmente la bóveda del puente. Una vez que suficientes relayers atestiguaron esos depósitos falsos, la lógica del puente del lado de tx acreditó saldos no respaldados que podían ser canjeados por XRP genuino.

Como se informó anteriormente, el análisis del libro mayor público rastreó 199,916.3 XRP saliendo del puente en 94 pagos durante 97 minutos. Esa cifra anterior mide el XRP liberado de la reserva, mientras que Bashash ahora dice que 198,715.88 XRP fueron robados. Tx no ha explicado públicamente la diferencia de aproximadamente 1,200 XRP entre las cifras.

DefaultRipple no drenó por sí mismo el XRP nativo

Las discusiones anteriores sobre el incidente se centraron en DefaultRipple, una configuración del XRP Ledger que se aplica a los activos emitidos. El análisis de XRPL.to encontró que el XRP nativo no salió a través de rippling. En cambio, todos los XRP observados liberados fueron firmados por la propia configuración de multisig del puente.

El análisis encontró 17 de 28 firmas de relayer en los pagos del puente y 21 relayers atestiguando el primer depósito fantasma del atacante. Esa evidencia apunta a una lógica de verificación compartida que acepta entradas inválidas en lugar de claves de firma robadas.

La distinción es importante porque tx describió el incidente como "aislado" al XRP puenteado. Otros activos puenteados permanecen completamente respaldados, según la empresa. El XRP puenteado en la cadena de tx no está actualmente completamente respaldado, y el equipo aún no ha anunciado un mecanismo de reembolso.

El XRP robado se movió a través de THORChain y Tornado Cash

Bashash dijo que el XRP robado fue convertido en ETH, movido a Ethereum a través de THORChain y finalmente transferido a Tornado Cash. Rastrear directamente se vuelve más difícil después de que los fondos ingresan al protocolo de privacidad, aunque los investigadores aún pueden examinar el historial de transacciones que lleva a ese punto.

Tx dijo que rastreó los activos robados a través de cadenas y presentó una queja formal ante el Centro de Quejas de Delitos en Internet del FBI. La presentación incluyó registros de transacciones e información adicional que identifica a los atacantes, según el proyecto. Presentar una queja al IC3 no establece por sí mismo que el FBI haya abierto una investigación criminal.

El incidente se ajusta a un patrón de seguridad más amplio. En la cobertura relacionada, las explotaciones de puentes entre cadenas han causado más de $4 mil millones en pérdidas desde 2021, con fallas en la verificación entre cadenas que repetidamente brindan a los atacantes una ruta hacia activos no respaldados.

Qué sucede a continuación para los titulares de XRP puenteado afectados

Tx dijo que ha identificado y remediado el código vulnerable, pero el puente XRPL sigue fuera de línea mientras el equipo revisa cambios de seguridad adicionales. El proyecto no ha anunciado una fecha para restaurar las operaciones del puente.

La empresa también está evaluando formas de abordar las pérdidas para los usuarios afectados y dijo que publicará un mecanismo y un cronograma en una actualización posterior. Por ahora, tx dice que los titulares no necesitan tomar ninguna acción y advirtió a los usuarios sobre los servicios de recuperación no oficiales.

Los próximos desarrollos verificados a seguir son la reconciliación final de la cantidad robada, cualquier recuperación o congelación de fondos, el plan de compensación para usuarios y las condiciones para reabrir el puente. El equipo también ha dicho que tiene la intención de perseguir la identificación y el enjuiciamiento del atacante, pero ese resultado sigue dependiendo de la investigación continua y del proceso de aplicación de la ley.