XRP Ledger、重大な脆弱性をジャストインタイムで修正

重大なセキュリティ上の欠陥が XRP Ledgerの 提案されたバッチ修正案により、攻撃者は被害者のアカウントから秘密鍵を必要とせずに不正な取引を実行できる可能性がありました。このバグは2月19日に修正案がメインネットに公開される前に発見されたため、資金の流出はありませんでした。CantinaのCEO、ハリ・ムラカル氏は、XRPの時価総額が約800億ドルであることから、このハッキングをブロックチェーン史上「金額ベースで最大のセキュリティハッキング」の候補に挙げました。

バグとは正確には何だったのでしょうか?

この脆弱性は、Rippled バージョン 3.1.0 のバッチトランザクションの署名検証プロセスに存在していました。検証ループの論理エラーにより、攻撃者が悪用できる早期終了状態が発生しました。

実際には次のように機能しました。

• 攻撃者は、被害者のアカウントに紐づく内部操作（支払い、アカウントの変更）を含むバッチトランザクションを作成する可能性がある。
• 取引には偽造署名エントリが使用される
• 欠陥のある検証では、存在しないアカウントをチェックし、早期終了し、適切な検証をスキップします。
• 不正な操作が合法的なものであるかのように実行される

有効化後に悪用された場合、攻撃者はアカウントの準備金残高を使い果たし、AccountSet や TrustSet などのトランザクションを通じて元帳の状態を変更し、アカウントを完全に削除する可能性もあります。

どうやって捕まったのか？

セキュリティ エンジニアの Pranamya Keshkamat 氏 セラーブロックチェーンに特化したセキュリティ企業であるRippledは、同社のAI搭載監査ツール「Apex」と共同でこの脆弱性を発見した。この発見は、Rippledのコードベースの静的解析中に行われた。

自律型AIセキュリティ監査ツールと称されるApexがロジックエラーを報告しました。Keshkamat氏とチームは責任ある開示報告書を提出しました。Rippleのエンジニアリングチームは、概念実証とユニットテストを用いて迅速に検証を行いました。

これは、AI 支援セキュリティが約束するだけでなく、実際に結果をもたらす具体的な事例です。

反応はどのくらい早くありましたか?

発見から公表まで、このプロセス全体には 1 週間かかりました。

2月19日、Cantinaが欠陥を報告した同日、UNLバリデーターはバッチ修正案に「反対」票を投じるよう勧告されました。数名は即座に拒否権を行使しました。

有望なプロジェクトを発見...

有望なプロジェクト...

（広告）

記事は続きます…

2月23日までに、RippleはRippledバージョン3.1.1の緊急パッチをリリースしました。このアップデートでは、バッチ修正がサポート対象外とされ、アクティベーションをブロックするための「fixBatchInnerSigs」と呼ばれる一時的な修正が導入されています。

2月26日、XRPL Labs 公表 完全な脆弱性開示レポートを公開します。

次に何が起こる？

Batch修正案はまだ廃止されていません。XRPL開発チームは、BatchV1_1と呼ばれる代替案の開発に取り組んでいます。この更新版では、早期終了条件が削除され、承認ガードが追加され、署名チェックが全面的に強化されています。リリース日はまだ確定しておらず、コードは現在レビュー中です。

バリデーターは直ちにRippled 3.1.1にアップグレードする必要があります。この脆弱性は未だ発生していないため、一般ユーザーは特に対応する必要はありませんが、BatchV1_1のアップデートについては公式XRPLチャンネルで確認することをお勧めします。

これはなぜ重要なのでしょうか。

これは業界全体が注意を払うべき、まさにニアミスと言える出来事の一つです。このバグは、メインネットのアクティベーションに向けて活発に投票が行われていたコードに存在していました。もしタイミングが数日でも違っていたら、結果は大きく変わっていたかもしれません。

AIツールがこれを発見する上で中心的な役割を果たしたという事実は重要です。暗号資産業界では第三者による監査が常に重要でしたが、AIを活用した監査は、人間のレビュー担当者が日常的なコードレビューで見逃してしまう可能性のある点を検出できることが証明されています。

XRPL Labsは、今回のインシデントがコードレビュープロセスの継続的な改善を促すと認めました。数百億ドル規模の資産を扱うエコシステムにとって、これはもはや選択肢ではなく、生き残るための手段です。

ソース：

• 合同グラフ カンティーナのセキュリティエンジニアとAIツールApexによる発見について、CEOのハリ・ムラカル氏の発言を含めてレポートします。
• XRPL Labsブログ 技術的な詳細、修復のタイムライン、検証者の推奨事項を含む公式の脆弱性開示レポート