Một lỗ hổng tiềm ẩn trong công cụ thanh toán của XRP Ledger đã làm dấy lên những câu hỏi mới về cách các hệ thống blockchain thực thi những quy tắc kinh tế cơ bản nhất của chúng.
Một lỗ hổng tràn số nguyên có thể vượt qua quy tắc nguồn cung cố định của XRP Ledger đã được tác nhân bảo mật AI của Veria Labs phát hiện trong quá trình phân tích mã XRPL. Tác nhân này đã liên kết một lỗi tràn số trong công cụ thanh toán với một lỗi tràn khác trong cơ chế xác thực nguồn cung. Sau đó, các nhà nghiên cứu đã kiểm chứng đường tấn công trong môi trường thử nghiệm, cho thấy một giao dịch duy nhất về mặt lý thuyết có thể tạo ra khoảng 18,45 nghìn tỷ XRP. Không có bằng chứng cho thấy lỗ hổng này từng bị khai thác trên mainnet công khai, và nhóm liên quan đã giảm thiểu rủi ro thông qua một bản nâng cấp phần mềm khẩn cấp.
Vì sao hai lỗi nhỏ trở thành một vấn đề lớn
Điểm đáng chú ý của sự việc này không nằm ở con số trên tiêu đề, mà ở kiến trúc mà nó phơi bày. Bất biến nguồn cung của XRPL không được thực thi bằng một kiểm tra duy nhất; nó dựa vào nhiều lớp mã phải nhất quán với nhau. Khi hai kiểm tra biên tưởng chừng độc lập thất bại theo cách tương thích, quy tắc kinh tế cốt lõi của hệ thống có thể bị thách thức ngay cả khi không một dòng mã đơn lẻ nào trông có vẻ thảm họa.
Đây là một mô thức quen thuộc trong phần mềm phức tạp, nhưng nó mang trọng lượng khác thường trong các hệ thống blockchain, nơi chính sổ cái là nguồn chân lý về tính khan hiếm. Trong tài chính truyền thống, một sai sót thanh toán có thể được đảo ngược bởi tổ chức lưu ký hoặc nhà thanh toán bù trừ. Trong một sổ cái phi tập trung, một quy tắc nguồn cung bị khai thác có thể thay đổi vĩnh viễn các thuộc tính tiền tệ của tài sản.
Góc nhìn AI là con dao hai lưỡi
Tác nhân AI của Veria Labs đã tìm ra lỗ hổng bằng cách kết nối các đường mã mà kiểm toán viên con người có thể đã xem xét riêng lẻ. Đó là một bước tiến thực sự: các công cụ AI có thể quét những cơ sở mã khổng lồ và làm nổi bật những tương tác không hiển nhiên với tốc độ và quy mô mà kiểm tra thủ công không thể sánh kịp. Nhưng cùng khả năng đó cũng làm giảm chi phí tìm ra các lỗi có thể bị khai thác, nghĩa là phía phòng thủ phải giả định rằng kẻ tấn công đang dùng những công cụ tương tự.
- Lợi thế phòng thủ: kiểm tra có AI hỗ trợ có thể bắt được các lỗi xuyên mô-đun trước khi triển khai.
- Rủi ro tấn công: chính những kỹ thuật đó có thể bị kẻ tấn công nhắm vào các giao thức đang hoạt động.
- Bài học cấu trúc: các bất biến nguồn cung cần được xác minh hình thức, từ đầu đến cuối, chứ không chỉ kiểm tra cục bộ.
Ngành nên rút ra điều gì từ đây
Bản nâng cấp khẩn cấp đã giảm rủi ro trước mắt, nhưng vấn đề sâu xa hơn là phương pháp luận xác minh. Các blockchain cam kết nguồn cung cố định, phát hành có giới hạn, hoặc chính sách tiền tệ được mã hóa cứng nên coi những thuộc tính đó là các bất biến ở cấp hệ thống và kiểm thử chúng bằng các phương pháp hình thức, fuzzing và các tác nhân AI đối kháng. Sự việc XRP là lời nhắc nhở rằng trong mã nhiều lớp, bảo mật chỉ mạnh bằng sự kết hợp giả định yếu nhất — và rằng AI hiện là một phần của cả bề mặt tấn công lẫn phòng thủ.
