یک نقص نرمافزاری در پل ارتباطی میان شبکهی XRP Ledger و بلاکچین Coreum (که اکنون با نام تجاری tx شناخته میشود)، به یک مهاجم اجازه داد تا با ثبت سپردههای جعلی، نزدیک به ۲۰۰ هزار توکن XRP به ارزش تقریبی ۲۰۰ هزار دلار را از ذخایر این پل خارج کند.
داراییها در روز جمعه در مدتزمان ۹۷ دقیقه از کیف پول ذخیرهی پل خارج شدند و پس از آن فعالیت سیستم متوقف شد. این پل ارتباطی بهعنوان یک صندوق امانات عمل میکند که کاربر با واریز توکن به آن، معادل همان دارایی را در شبکهی مقصد دریافت میکند؛ اما مهاجم راهی برای دریافت رسید بدون واریز واقعی دارایی پیدا کرد.
نرمافزار پل تراکنشهایی را به عنوان سپرده ثبت کرد که هیچ توکنی به کیف پول ذخیره منتقل نکرده بودند. این نقص امنیتی باعث شد تا مهاجم توکنهای بدون پشتوانه را در شبکه مقصد دریافت کرده و سپس با بازگرداندن آنها از طریق پل، توکنهای واقعی را از صندوق ذخیره برداشت کند.
تیم توسعهدهندهی پروژه tx میگوید: «مهاجم از نرمافزاری سوءاستفاده کرد که تراکنشهای بدون واریز توکن به صندوق ذخیره را به اشتباه به عنوان سپردهی معتبر شناسایی میکرد. کد آسیبپذیر شناسایی و اصلاح شده است و موضوع را به مرکز رسیدگی به جرایم اینترنتی افبیآی گزارش دادهایم.»
تراکنشهای خروجی توسط ۱۷ رلهکننده از مجموع ۲۸ رلهکنندهی پل تأیید شدند؛ چون سوابق داخلی سیستم به آنها نشان میداد که سپردهگذاریها واقعی بودهاند. بررسیهای درونزنجیرهای نشان میدهد که بخش عمدهای از توکنهای سرقتشده در ساعتهای اولیه پس از حادثه به آدرسهای دیگری منتقل شدهاند.
