XRP 桥因软件将虚假存款视为真实存款而遭资金耗尽

简要摘要

• 一名攻击者从 Tx XRPL 桥中窃取了近 200,000 XRP，价值约 $202,000。
• 该桥将未实际交付 XRP 的交易误记为存款。
• Tx 已暂停该桥，并正在考虑如何补偿受影响的用户。

项目方表示，一名攻击者于 8 月 9 日通过利用其存款检测软件中的一个缺陷，从 XRP Ledger 桥中窃取了近 200,000 XRP，价值约 $202,000。

在周二发布于 X 的一则帖子中，运营连接 Tx Chain 和 XRP Ledger 桥接器的 Tx 表示，一个软件缺陷导致该桥将交易记录为 XRP 存款，尽管并未收到任何 XRP。

“攻击者利用了桥的存款检测逻辑，”该公司写道。“该桥的软件错误地将从未实际向桥交付任何 XRP 的交易注册为存款，并据此在 tx 链上铸造了桥接 XRP。”

Tx 是一个 Layer-1 区块链生态系统，于 3 月通过将 Coreum 区块链与 Sologenic（一个基于 XRP Ledger 的代币化和交易平台）合并而启动。

攻击者利用这些虚假存款在 Tx Chain 上创建了无抵押的 XRP，然后通过该桥将其兑换为真实的 XRP。

据 Tx 称，该桥在部署前经过了多次内部和第三方审计，但未能识别出该漏洞。

独立的 XRP Ledger 交易和分析平台 XRPL 发现，该桥在 97 分钟内通过 94 笔支付释放了约 199,916 XRP。每笔支付都由该桥 28 个中继器（监控两个区块链并批准转账的程序）中的 17 个授权。

根据 XRPL 的说法，中继器将攻击者的自导自演交易误认为是存款。攻击者随后通过该桥的正常流程提取了由此产生的无抵押余额。

分析驳斥了最初关于 XRP 是通过 “rippling” 被盗取的说法。“rippling” 是 XRPL 的一项功能，用于在信任线之间移动发行的代币。根据 XRPL 的说法，原生 XRP 无法通过 rippling 移动。

“一个广泛流传的警告将其归咎于 ‘rippling’ 和默认开启的账户标志。账本显示的则不然：每一笔支付都由桥自身的共管签名签署，而且原生 XRP 根本无法被 rippled，”XRPL 写道。“结合两条公链来看，真正的原因是中继器将攻击者自身的自我支付误认为是存款。”

在 X 上的另一则帖子中，CoreNest Capital 负责人、Sologenic 和 Coreum 联合创始人 Reza Bashash 表示，攻击者将窃取的 XRP 转换为 Ethereum，通过 THORChain 将其转移到 Ethereum 网络，并将全部金额发送到加密混币器 Tornado Cash，这使得资金的追踪变得非常困难。

Tx 表示已暂停该桥，修复了受影响的代码，追踪了被盗资金，并向 FBI 的互联网犯罪投诉中心提交了投诉。它还聘请了区块链取证专家，并正与安全合作伙伴合作。

“在我们寻求所有法律途径的同时，我们也正在评估为受影响用户补救局势的所有选项，”tx 表示。

在 tx 审查其安全性期间，该桥保持离线状态。该项目表示持有者无需采取任何行动，并警告不要相信声称可以追回资金的账户或网站。

尽管网络出现了问题，XRP 的价格波动并不大。这款与 Ripple 相关的代币继续在 $1 关口附近徘徊，市值约为 $640 亿，过去 30 天下跌了约 5.5%。

由 Decrypt 母公司建立的预测市场 Myriad 上的交易者目前认为，XRP 在本周剩余时间内将继续保持在 $1 的价格水平。

每日简报通讯

以当下的热门新闻、原创专题、播客、视频等内容开启每一天。