Ernstige fout in XRP Ledger had miljarden aan XRP kunnen creëren

De XRP Ledger, het netwerk achter cryptomunt XRP, blijkt jarenlang een ernstige beveiligingsfout te hebben gehad. Door die fout hadden hackers in theorie enorme hoeveelheden XRP-tokens uit het niets kunnen creëren. Dat had grote gevolgen kunnen hebben voor de waarde van de munt.

De kwetsbaarheid zat mogelijk al sinds 2015 in het netwerk. Ontwikkelaars hebben het probleem inmiddels opgelost en zeggen geen aanwijzingen te hebben gevonden dat iemand de fout daadwerkelijk heeft misbruikt.

Hackers konden XRP uit het niets creëren

De beveiligingsfout werd ontdekt door onderzoeker Cayden Liao en Veria AI. Zij meldden het probleem op 22 september bij de ontwikkelaars van de XRP Ledger.

De ontdekking was ernstig, omdat XRP een vaste maximale voorraad heeft. Bij de lancering van het netwerk in 2012 werden alle 100 miljard XRP aangemaakt. Sindsdien kunnen er volgens de regels van het netwerk geen nieuwe munten bijkomen.

Door de beveiligingsfout bleek dat toch mogelijk.

Het probleem zat in het ingebouwde handelssysteem van de XRP Ledger, waar gebruikers verschillende cryptomunten kunnen uitwisselen.

Een hacker had honderden accounts kunnen aanmaken en daarmee speciale handelsorders kunnen plaatsen. Door al die orders tegelijk uit te voeren, kon het netwerk de hoeveelheid XRP die betaald moest worden verkeerd berekenen.

Daardoor zouden de accounts van de hacker grote hoeveelheden XRP ontvangen, terwijl daar vrijwel niets voor werd betaald. Het verschil werd niet van andere gebruikers afgehaald, maar ontstond feitelijk uit het niets.

De hacker had deze extra XRP vervolgens naar cryptobeurzen kunnen sturen om ze te verkopen. Daarmee had de aanval niet alleen de vaste voorraad van XRP kunnen doorbreken, maar ook grote schade kunnen veroorzaken op de cryptomarkt.

Beveiliging van XRP Ledger bleek onvoldoende

De XRP Ledger heeft meerdere beveiligingen die moeten voorkomen dat er zomaar nieuwe XRP ontstaan. Toch bleken die niet bestand tegen deze fout.

Het netwerk controleert na iedere transactie of de totale hoeveelheid XRP klopt. Maar doordat het systeem met verkeerde bedragen rekende, zou het de extra aangemaakte munten niet hebben opgemerkt.

Ook een andere beveiliging bood geen uitkomst. Die beperkt hoeveel XRP één account kan ontvangen. Door de munten over honderden accounts te verdelen, kon een aanvaller deze grens omzeilen.

Voor de aanval was bovendien opvallend weinig geld nodig. Volgens de onderzoekers waren enkele honderden XRP voldoende om alle benodigde accounts aan te maken. Het grootste deel daarvan kon later weer worden teruggehaald.

Ontwikkelaars van RippleX, de ontwikkeltak van Ripple, hebben de aanval vervolgens getest op een afzonderlijke server. Ze bevestigden dat de extra aangemaakte XRP echt bestonden en bij een volgende transactie konden worden uitgegeven.

Volgens RippleX zijn er geen aanwijzingen dat iemand de beveiligingsfout daadwerkelijk heeft misbruikt op het openbare netwerk.

Ripple heeft beveiligingsfout opgelost

De onderzoekers meldden de fout op 22 september. Slechts drie dagen later brachten de ontwikkelaars een software-update uit waarmee het probleem werd verholpen.

Het ging om versie 3.4.1 van xrpld, de software waarop het XRP Ledger draait. Bij de update werd nog niet verteld welke kwetsbaarheid precies was opgelost. Die informatie werd pas op 9 oktober openbaar gemaakt.

Opvallend is dat de fout mogelijk al sinds 2015 in het netwerk zat. Dat betekent dat de kwetsbaarheid ongeveer elf jaar onopgemerkt is gebleven.

Ook bij andere cryptoprojecten zijn de afgelopen maanden oude beveiligingsproblemen ontdekt, soms met hulp van kunstmatige intelligentie (AI).

Zo werd bij de hardwarewallet Coldcard een kwetsbaarheid ontdekt die verband hield met de diefstal van minstens 1.367 Bitcoin (BTC). Ook bij Core Lightning kwamen ernstige fouten aan het licht. Beheerders van bepaalde Bitcoin-nodes kregen daarom het advies tijdelijk de verbinding te verbreken.

Volgens de ontwikkelaars van het XRP Ledger is de kwetsbaarheid inmiddels verholpen. Er zijn geen aanwijzingen dat aanvallers de fout hebben gebruikt om extra XRP te creëren.