Desenvolvedores da XRP, quinta maior criptomoeda do mercado, divulgaram na última sexta-feira (9) uma correção sobre uma falha que permitia a criação ilimitada de moedas.
Embora a vulnerabilidade estivesse presente desde 2015, por 11 anos, o texto afirma não haver evidências de que ela tenha sido explorada.
O Bitcoin passou por um problema semelhante em 2010, que chegou a ser explorado. Na data, cerca de 184,5 bilhões de bitcoins foram cunhados, fazendo desenvolvedores trabalharem em uma atualização emergencial e uma reorganização da rede para excluir o bloco inválido.
Vulnerabilidade foi descoberta por um terceiro
Os desenvolvedores da XRP afirmam que a vulnerabilidade de overflow foi descoberta por um participante do programa de recompensas por falhas do projeto.
“Com um conjunto de ofertas especialmente construídas e um único pagamento, um invasor poderia emitir novos XRP em desacordo com as regras previstas para a XRP Ledger e gastá-los como qualquer outra XRP.”
Explicando melhor, o texto afirma que o mecanismo somava os valores de um único pagamento que consumia muitas ofertas do livro de ordens, mas que os saldos de XRP são armazenados com um limite máximo fixo.
Sendo assim, quando a soma ultrapassava esse limite, o sistema não retornava um erro, mas voltava a um número pequeno.
“O mecanismo pagava integralmente cada proprietário de oferta, mas cobrava do comprador apenas o total após o overflow. A diferença correspondia a novos XRP que nunca deveriam ter existido.”
Embora a falha estivesse presente há 11 anos, desde 2015, os desenvolvedores afirmam que ela não foi explorada.
Em suma, ela permitiria que o atacante imprimisse moedas do nada, podendo vendê-las no mercado e, dependendo da quantia, fazer o preço da XRP desabar.
Empresa afirma ter usado IA para descobrir o bug da XRP
Em nota publicada em seu blog, a equipe da Veria Labs afirmou que a falha foi descoberta por sua ferramenta de Inteligência Artificial. Os desenvolvedores afirmam ter recebido US$ 250.000 pela divulgação da falha, prêmio máximo oferecido pela Ripple.
No texto, eles chamam o evento de “o maior hack na história das criptomoedas que nunca aconteceu”, refletindo a importância do descobrimento.
“O bug que encontramos permitia que qualquer pessoa criasse 18 trilhões de XRP com uma única transação, 184 vezes a oferta total da criptomoeda. Isso colocava em risco os US$ 94 bilhões da oferta total, mais de 60 vezes o valor do maior hack de criptomoedas já registrado (Bybit, US$ 1,5 bilhão). Até onde sabemos, nenhum hacker ético jamais encontrou uma vulnerabilidade maior. O recorde anterior de que temos conhecimento era de um bug na Polygon, em 2021, que colocou US$ 24 bilhões em risco.”
O texto aponta que a falha foi relatada no dia 22 de setembro, corrigida no dia seguinte e tal correção foi disponibilizada no dia 25 de setembro.
Por fim, isso mostra o poder das ferramentas de IA, que podem abalar a confiança do mercado no curto prazo, mas fortalecer projetos após esse choque inicial.
