Casi 200,000 XRP fueron drenados del puente Coreum XRPL el 9 de agosto después de que un atacante pareciera explotar una falla en su lógica de relevo, en lugar de una vulnerabilidad en el propio XRP Ledger.
Resumen
- Casi 200,000 XRP salieron del puente de Coreum en 94 pagos firmados durante un ataque de 97 minutos.
- El análisis de blockchain encontró que 17 de 28 firmas de relevo autorizaron cada pago de XRP desde el puente.
- El código de relevo procesó pagos exitosos con memos de puente sin verificar primero la dirección de destino del pago.
- La documentación de XRPL confirma que el XRP nativo no tiene línea de confianza, contradiciendo directamente la explicación inicial de ondulación.
- Coreum no había publicado un informe oficial del incidente para el martes mientras el puente permanecía detenido.
El análisis en cadena publicado el 11 de agosto rastreó 199,916.3 XRP saliendo de la cuenta del puente a través de 94 pagos en 97 minutos.
El puente tenía alrededor de 200,410 XRP antes de que la secuencia comenzara a las 19:16 UTC. Para las 20:53 UTC, su saldo había caído a 493.5 XRP. Cada pago saliente de XRP llevaba la autorización de multifirma del propio puente, con 17 firmas de sus 28 claves de relevo. La evidencia no indica que esas claves fueran robadas.
Los relevos del puente XRP confundieron pagos propios con depósitos
El ataque parece haber apuntado a cómo los relevos de Coreum interpretaban las transacciones. El atacante primero movió el token Coreum envuelto del propio puente entre billeteras bajo su control mientras adjuntaba un memo formateado para el puente. Esas transacciones aparecieron en el historial de la cuenta del puente porque la cuenta emite el token envuelto.
El código público del relevo verifica si un pago tuvo éxito, extrae un destinatario de Coreum de su memo y lee el monto entregado antes de enviar evidencia de depósito. Sin embargo, el flujo de procesamiento publicado no compara el destino del pago con la dirección del puente. Eso permitió que transferencias de billetera a billetera que llevaban el memo correcto fueran interpretadas como depósitos.
XRPL.to encontró que 21 relevos atestiguaron la primera transacción fantasma del atacante. Una vez que suficiente evidencia coincidente llegó al contrato de Coreum, el sistema acreditó saldos que no estaban respaldados por depósitos reales. El atacante luego usó el proceso de retiro normal del puente, lo que provocó que sus relevos autorizaran pagos reales de XRP.
El patrón se asemeja a un problema de seguridad de puentes más amplio discutido en la cobertura de seguridad reciente: los sistemas de cadena cruzada pueden fallar incluso cuando sus blockchains subyacentes permanecen seguros si el mecanismo que verifica eventos en otra cadena acepta información incorrecta.
Los datos de XRP Ledger contradicen la teoría de ondulación
Una advertencia inicial culpó al "rippling" y a la configuración DefaultRipple de la cuenta del puente. El análisis de transacciones posterior rechazó esa explicación. La documentación de XRP Ledger establece que el rippling se aplica a activos emitidos mantenidos a través de líneas de confianza. El XRP nativo no usa esas líneas de confianza.
El registro de transacciones proporciona otra distinción. XRPL.to atribuyó todos los 199,916.3 XRP retirados de la cuenta a pagos firmados por el propio puente y no encontró XRP saliendo a través de una ruta de rippling. También encontró que las transacciones no eran pagos parciales.
Por lo tanto, el incidente no apunta actualmente a una falla de consenso de XRP Ledger. Esa distinción es relevante después de que los desarrolladores reforzaran recientemente la revisión del software XRPL y las características propuestas, como se cubrió en la cobertura de auditoría de software anterior. El incidente de Coreum se centra en cambio en el software que conecta dos redes independientes.
El XRP robado avanza mientras el puente permanece detenido
Las dos billeteras receptoras iniciales reenviaron casi todo el XRP en cuestión de horas. XRPL.to rastreó aproximadamente 169,000 XRP hacia dos cuentas de preparación creadas el 28 de junio, con otros aproximadamente 34,000 XRP moviéndose hacia otras tres billeteras. El análisis no ha identificado al atacante.
No salió más XRP del puente después de las 20:53 UTC del 9 de agosto. Su cuenta realizó una transacción adicional de token envuelto a primera hora de la mañana siguiente antes de quedar en silencio, mientras que posteriormente se informó que el contrato del puente estaba detenido. Coreum no había publicado un informe oficial posterior al incidente cuando se publicó el análisis del 11 de agosto.
La propia especificación del puente permite que cualquier relayer o el propietario del contrato detenga las operaciones cuando ocurre un comportamiento inesperado, mientras que solo el propietario puede reanudarlas. Los próximos pasos a observar son un informe formal del incidente, la corrección de la falla de verificación de destino, cualquier esfuerzo de recuperación que involucre el XRP transferido y una decisión sobre cuándo el puente puede reabrirse de manera segura.
