Près de 200 000 XRP ont été drainés du pont Coreum XRPL le 9 août après qu'un attaquant semble avoir exploité une faille dans sa logique de relais, plutôt qu'une vulnérabilité dans le XRP Ledger lui-même.
Résumé
- Près de 200 000 XRP ont quitté le pont de Coreum en 94 paiements signés lors d'une attaque de 97 minutes.
- L'analyse de la blockchain a révélé que 17 des 28 signatures de relais autorisaient chaque paiement XRP sortant du pont.
- Le code du relais traitait les paiements réussis avec des mémos de pont sans vérifier d'abord l'adresse de destination du paiement.
- La documentation XRPL confirme que le XRP natif n'a pas de ligne de confiance, contredisant directement l'explication initiale de « rippling ».
- Coreum n'avait pas publié de rapport d'incident officiel mardi alors que le pont restait suspendu.
Une analyse en chaîne publiée le 11 août a retracé 199 916,3 XRP quittant le compte du pont via 94 paiements en 97 minutes.
Le pont détenait environ 200 410 XRP avant le début de la séquence à 19h16 UTC. À 20h53 UTC, son solde était tombé à 493,5 XRP. Chaque paiement XRP sortant portait la propre autorisation multisignature du pont, avec 17 signatures de ses 28 clés de relais. Les preuves n'indiquent pas que ces clés ont été volées.
Les relais du pont XRP ont pris des paiements internes pour des dépôts
L'attaque semble avoir ciblé la manière dont les relais de Coreum interprétaient les transactions. L'attaquant a d'abord déplacé le propre jeton Coreum enveloppé du pont entre des portefeuilles sous son contrôle tout en joignant un mémo formaté pour le pont. Ces transactions sont apparues dans l'historique du compte du pont parce que le compte émet le jeton enveloppé.
Le code public du relais vérifie si un paiement a réussi, extrait un destinataire Coreum de son mémo et lit le montant livré avant de soumettre la preuve de dépôt. Cependant, le flux de traitement publié ne compare pas la destination du paiement avec l'adresse du pont. Cela a permis à des transferts de portefeuille à portefeuille portant le bon mémo d'être interprétés comme des dépôts.
XRPL.to a constaté que 21 relais ont attesté la première transaction fantôme de l'attaquant. Une fois que suffisamment de preuves correspondantes ont atteint le contrat Coreum, le système a crédité des soldes qui n'étaient pas adossés à de vrais dépôts. L'attaquant a ensuite utilisé le processus de retrait normal du pont, incitant ses relais à autoriser de vrais paiements XRP.
Le schéma ressemble à un problème de sécurité plus large des ponts discuté dans une couverture de sécurité récente : les systèmes inter-chaînes peuvent échouer même si leurs blockchains sous-jacentes restent sécurisées si le mécanisme vérifiant les événements sur une autre chaîne accepte des informations incorrectes.
Les données du XRP Ledger contredisent la théorie du rippling
Un avertissement initial a blâmé le « rippling » et le paramètre DefaultRipple du compte du pont. L'analyse ultérieure des transactions a rejeté cette explication. La documentation du XRP Ledger indique que le rippling s'applique aux actifs émis détenus via des lignes de confiance. Le XRP natif n'utilise pas ces lignes de confiance.
Le registre des transactions fournit une autre distinction. XRPL.to a attribué les 199 916,3 XRP retirés du compte à des paiements signés par le pont lui-même et n'a trouvé aucun XRP quittant via une route de rippling. Il a également constaté que les transactions n'étaient pas des paiements partiels.
L'incident ne pointe donc pas actuellement vers une défaillance du consensus du XRP Ledger. Cette distinction est pertinente après que les développeurs ont récemment renforcé l'examen des logiciels XRPL et des fonctionnalités proposées, comme couvert dans la couverture précédente de l'audit logiciel. L'incident de Coreum se concentre plutôt sur un logiciel connectant deux réseaux indépendants.
Les XRP volés avancent tandis que le pont reste suspendu
Les deux portefeuilles de réception initiaux ont transféré presque tous les XRP en quelques heures. XRPL.to a retracé environ 169 000 XRP vers deux comptes de mise en scène créés le 28 juin, avec environ 34 000 XRP supplémentaires se dirigeant vers trois autres portefeuilles. L'analyse n'a pas identifié l'attaquant.
Aucun autre XRP n'a quitté le pont après 20h53 UTC le 9 août. Son compte a effectué une transaction de jeton enveloppé supplémentaire tôt le lendemain matin avant de devenir silencieux, tandis que le contrat du pont a ensuite été signalé comme suspendu. Coreum n'avait pas publié de compte rendu officiel après l'incident lorsque l'analyse du 11 août a été publiée.
La spécification du pont lui-même permet à tout relais ou au propriétaire du contrat de suspendre les opérations en cas de comportement inattendu, tandis que seul le propriétaire peut les reprendre. Les prochaines étapes à surveiller sont un rapport d'incident formel, la correction de la faille de vérification de destination, toute tentative de récupération impliquant les XRP transférés et une décision sur le moment où le pont peut rouvrir en toute sécurité.
