Mecanismo de Pagamento do XRP Ledger Tinha Bug de Falsificação Desde 2015

Em resumo

• Os mantenedores do XRP Ledger divulgaram e corrigiram um bug crítico de transbordamento no mecanismo de pagamento, relatado via recompensa por bug em setembro, que poderia ter permitido que um invasor criasse XRP falsificados.
• A falha passou despercebida desde 2015 porque nenhum pagamento normal a aciona, e a verificação de segurança “nenhum XRP criado” do ledger usava a mesma aritmética defeituosa.
• Não há evidências de que o bug tenha sido explorado, dizem os desenvolvedores do XRP Ledger.

Desenvolvedores por trás do XRP Ledger divulgaram e corrigiram uma vulnerabilidade crítica que, se não fosse resolvida, poderia ter permitido que um invasor criasse XRP do nada, uma falha que permaneceu inativa no código da rede por cerca de uma década.

Em uma divulgação publicada na sexta-feira, os mantenedores do ledger disseram que um pesquisador relatou o bug por meio do programa de recompensa por bug do XRPL em setembro. O problema era um transbordamento de inteiro (integer overflow) no mecanismo de pagamento, a parte do software que processa os pagamentos.

Quando um único pagamento consumia centenas de ofertas especialmente elaboradas do livro de ordens, a soma do que o comprador devia excedia o valor máximo que o sistema podia armazenar e "dava a volta" para um número minúsculo. O mecanismo pagava cada vendedor integralmente, mas cobrava quase nada do comprador, com a diferença resultando em XRP recém-emitidos que nunca deveriam ter existido.