XRP Ledger'da 10 Yıldır Gizli Kalan 'Sonsuz Basım' Açığı Nasıl Kapandı?

XRP Ledger (XRPL) çekirdek geliştirme ekibi RippleX, Haziran 2024'te yayınlanan rippled 2.1.0 sürümüyle, ağın ödeme motorunda (Payment Engine) on yıl süresiyle tespit edilemeyen ve teorik olarak milyarlarca dolarlık XRP'nin hiçbir karşılık olmadan basılmasına yol açabilecek kritik bir mantık hatasını sessizce kapattı. Açığın varlığı, güvenlik araştırmacıları tarafından yapılan koordinifeli bir açıklama süreci (CVD) sonucunda kamuoyuna duyuruldu.

Ödeme motorundaki 'kuru çalıştırma' tutarsızlığı

Sorun, XRPL'in atomik ödeme akışının kalbi olan PaymentEngine bileşeninde yatıyordu. Sistem, bir ödemeyi gerçekten işlemeden önce "kuru çalıştırma" (dry-run) yaparak göndericinin yeterli bakiyeye sahip olup olmadığını ve yolun geçerli olup olmadığını test ediyordu. Araştırmacılar, bu simülasyon ile gerçek yürütme arasında ince bir tutarsızlık keşfetti: Belirli karmaşık yol kurulumlarında (pathfinding), kuru çalıştırma başarısız olsa bile (yani fon yetersizse), gerçek işlem motoru hatalı bir durum makinesi geçişi nedeniyle ödemeyi yine de "başarılı" olarak işaretleyebiliyordu.

Bu durum, ağın çift harcamayı (double-spend) engelleme mantığını atlayarak, gönderenin cüzdanından tek bir XRP harcamadan alıcıya milyarlarca XRP transfer edilmesine imkan tanıyordu. Hata, XRP'nin toplam arzını (100 milyar) aşan bir enflasyon riski yaratıyordu.

Mainnet'te sıfır kayıp, validator'lar 72 saat içinde güncellendi

RippleX'in güvenlik bildirimine göre, açığın mainnet'te istismar edildiğine dair hiçbir kanıt bulunamadı. Hata, test ağlarında (Testnet/Devnet) ve yerel simülasyonlarda üretildikten sonra sorumlu açıklama prosedürüne göre raporlandı. Düzeltme yaması (PR #4381), mantık kontrolünü hem kuru çalıştırmada hem de gerçek yürütmede birebir eşleşecek şekilde yeniden yazdı.

Yama yayınlandığı gün, XRPL validator'ların %80'inin üzerinde 72 saat içinde yükseltme yaparak ağ konsensüsünün kesintisiz devam etmesini sağladı. Bu hızlı benimsenme, XRPL'in yönetişim modelinin ve operasyonel olgunluğunun bir göstergesi olarak değerlendirildi.

"Enflasyon hataları" blok zincirlerinde nadir ama yıkıcıdır

Blok zinciri tarihinde, Bitcoin'in 2010'daki CVE-2010-5139 (184 milyar BTC basımı) veya Zcash'ın 2018'deki gizli enflasyon riski gibi örnekler, bu sınıf hataların ne kadar kritik olduğunu hatırlatıyor. XRPL'deki bu bulgu, UTXO modeli olmayan, hesap tabanlı (account-based) ve karmaşık yol bulma (pathfinding) mantığına sahip zincirlerde "durum makinesi" doğrulamalarının ne kadar hassas olduğunu bir kez daha kanıtladı. Güvenlik uzmanları, hatanın tespit edilmesinin zorluğunu, kodun derinliklerinde yatan ve standart fuzzing testlerinin atladığı bir mantık katmanına dayandığını vurguluyor.