Puente XRP vaciado por $200,000 tras error de software con depósitos falsos

Según tx, el software del puente registró transacciones como depósitos a pesar de que nunca entregaron XRP al puente. Eso le dio al atacante XRP puenteado en la cadena tx sin el XRP real que se suponía que debía respaldarlo. Esos tokens sin respaldo volvieron a pasar por el puente y el atacante retiró XRP real de la reserva.

El drenaje comenzó a las 19:16 UTC. Cada pago fue autorizado por 17 de los 28 relayers del puente, una mayoría que firmó exactamente como se diseñó, porque los propios registros del puente les dijeron que los depósitos eran reales.

Los relayers son programas que vigilan ambas blockchains y aprueban transferencias cuando los registros del puente indican que se debe un retiro.

El fallo específico se encontraba una capa más abajo, sin embargo, ya que el código del relayer procesó pagos que llevaban el memo del puente sin verificar primero la dirección de destino.

tx confirmó el fallo de detección de depósitos en una actualización, afirmando que el atacante explotó un software que reconoció incorrectamente transacciones que no entregaron XRP a la reserva.

El proyecto añadió que ha identificado y corregido el código vulnerable, ha contratado a especialistas en forense de blockchain y ha presentado una denuncia ante el Internet Crime Complaint Center del FBI. No ha dicho cómo se compensará a los titulares afectados.

Mientras tanto, el XRP robado no se quedó quieto. El rastreo onchain muestra que la mayor parte se movió en cuestión de horas a través de varias otras direcciones.