ИИ дал оценку багу в XRP Ledger, который аудиторы не замечали почти 10 лет

• ИИ-система Veria AI, обнаружившая давний баг в реестре $XRP, применила принципиально новый подход.
• Агент связал две разные ошибки, которые при выполнении определённых обстоятельств позволяли реализовать эксплойт.

ИИ-система Veria AI обнаружила в $XRP Ledger критическую цепочку ошибок, позволявшую создавать расходуемые $XRP сверх установленного предложения. Уязвимость находилась в действующем коде платёжного движка с 2015 года, а защитный механизм, который должен был остановить подобную операцию, содержал связанную ошибку с 2017 года. Инженеры RippleX подтвердили эксплойт, после чего сеть получила экстренное обновление xrpld 3.4.1. Следов использования уязвимости в публичных сетях разработчики не нашли.

Редакция Happy Coin News уже освещала уязвимость в $XRP Ledger. Однако Veria показывает более широкую проблему: это уже второй случай в 2026 году, когда критическую ошибку XRPL обнаруживает инструмент искусственного интеллекта, причём новая находка годами оставалась внутри давно работающего кода.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

4,8 на основе 40 К оценок в App Store и Google Play

ИИ связал две ошибки, которые по отдельности не давали эксплойта

Исследователь Кейден Ляо сообщил, что агент Veria AI анализировал код rippled и нашёл переполнение 64-битного целого числа при обработке платежей через встроенную децентрализованную биржу $XRP Ledger.

При специально подготовленной операции движок мог обработать сотни крупных ордеров и из-за переполнения посчитать, что покупатель должен заплатить лишь небольшую сумму. Владельцы ордеров при этом получали полные начисления.

В обычной ситуации такую операцию должна была остановить встроенная проверка XRPNotCreated, не позволяющая транзакции создавать новые $XRP. Но её счётчик использовал похожую арифметику и мог переполниться тем же способом. В результате две ошибки компенсировали друг друга: платёжный движок создавал $XRP, а защитный механизм воспринимал результат как корректное уничтожение комиссии.

В доказательстве концепции использовались 256 специально подготовленных ордеров. Одна операция позволяла распределить между контролируемыми аккаунтами около 18,45 трлн $XRP, что примерно в 184 раза больше первоначального предложения в 100 млрд токенов. RippleX воспроизвела атаку на изолированном сервере и подтвердила, что полученные таким способом $XRP можно было отправлять дальше.

Veria оценила потенциально затронутую капитализацию примерно в $94 млрд и получила за сообщение об ошибке максимальное вознаграждение программы $250,000. Компания называет его крупнейшим известным bug bounty за уязвимость, полностью обнаруженную ИИ-агентом, однако это заявление самой Veria.

$XRP Ledger уже второй раз за год спасает ИИ-аудит

В феврале похожая ситуация произошла с обновлением Batch. Инженер Пранамя Кешкамат и автономный инструмент Apex от Cantina AI обнаружили ошибку проверки подписей, которая потенциально позволяла выполнять транзакции от имени чужих аккаунтов без их приватных ключей. xrpl.org

Тогда последствия удалось предотвратить ещё до запуска, так как проблемный механизм находился на стадии голосования и не был активирован в основной сети.

Нынешний случай отличается принципиально. Ошибка находилась не в очередном обновлении, а в давно используемом платёжном коде. Как указывают в XRPL, проблемная логика существовала с момента создания платёжной системы в 2015 году.

Почему прежние проверки не обнаружили давнюю уязвимость

Veria утверждает, что $XRP Ledger прошёл более десятка аудитов и соревнований по безопасности только с 2024 года, но каждый аудит не исследовал именно уязвимые участки кода.

Официальный отчёт XRPL показывает другую причину сложности находки: для полноценной атаки требовалось объединить несколько условий, которые по отдельности не приводили к созданию расходуемых $XRP. Такой класс ошибок особенно труден для анализа, построенного вокруг поиска изолированных дефектов.

Сама команда $XRP Ledger использует многоуровневую систему проверки, включающую независимые аудиты, публичные соревнования, программы вознаграждений, фаззинг, формальную верификацию и тестирование с помощью ИИ. После нынешнего инцидента разработчики решили добавить ещё один обязательный этап: каждую ранее закрытую проблему безопасности будут повторно воспроизводить на кандидате в релиз перед окончательным подтверждением исправления.

Предупреждение о рисках:

Информация на сайте носит исключительно информационный и образовательный характер и не является инвестиционной рекомендацией или финансовым советом. Криптовалюты и цифровые активы связаны с высоким уровнем риска, включая возможную потерю капитала. Редакция не несёт ответственности за решения, принятые на основе опубликованных материалов. Перед принятием инвестиционных решений рекомендуется проводить собственное исследование (DYOR). Ознакомиться с редакционной политикой https://happycoin.news/about/

Источник