أصدرت شركة Ripple تقرير كشف عن الثغرات الأمنية في 23 مارس 2026، يوضح ثغرتين في سجل XRP (XRPL) تم اكتشافهما في يونيو 2025، وكانتا قد تمنعان توافق الشبكة إذا تم اختراق أحد مدققي قائمة العقد الفريدة (UNL).
تم إصلاح الثغرات، التي أبلغ عنها شركة أمن البلوكتشين Common Prefix، في إصدار rippled 3.0.0 الذي صدر في 9 ديسمبر 2025، بعد أن تم اختبار وتصديق الإصلاحات في أكتوبر 2025. يتبع التقرير بروتوكولات الكشف المسؤول ويشرح الأسباب التقنية الجذرية، وسيناريوهات التأثير، والإجراءات التصحيحية التي تم تنفيذها لحماية استمرارية الشبكة.
نظرة عامة على الثغرات وتأثيرها
الاكتشاف والإبلاغ
قام Nikolaos Kamarinakis من شركة Common Prefix بالإبلاغ عن الثغرات من خلال تقديم كشف مسؤول في 9 يونيو 2025. قامت فرق هندسة Ripple بالتحقق من صحة التقرير باستخدام إثبات مفهوم مستقل أعاد إنتاج الثغرتين في شبكة اختبار منفصلة.
الإصدارات المتأثرة
تؤثر الثغرات على إصدارات rippled حتى 2.6.2، وهو العميل البرمجي الذي يدير سجل XRP. تم دمج الإصلاحات في rippled 3.0.0.
التأثير المحتمل
كانت الثغرات تتطلب أن يتم اختراق أحد مدققي قائمة العقد الفريدة (UNL)، وهو أحد حوالي 35 عقدة موثوقة تشارك في التوافق. على الرغم من أن اختراق أحد مدققي UNL يعد تحديًا لأن هذه العقد عادةً ما تختبئ وراء عقد بروكسي وتتواصل فقط مع تلك العقد، إلا أن الباحثين أشاروا إلى أنه ليس مستحيلاً.
إذا تم استغلالها، يمكن لمُخترق أن يتحكم في بيانات المعاملات ضمن مجموعات المعاملات، مما يتسبب في تعطل جميع المدققين الآخرين الذين تلقوا الرسالة المعدلة مباشرة. ويمكن تكرار تفعيل هذه الأعطال حتى يتم إزالة المُخترق من قائمة UNL، مما قد يوقف توافق الشبكة.
التفاصيل التقنية
الثغرة 1: مقارنة المعاملات
نشأت الثغرة الأولى من طريقة مقارنة المدققين لمجموعات المعاملات أثناء التوافق. عندما يتلقى المدقق مجموعة معاملات من مدقق آخر، يقارنها مع مجموعته ويحدد المعاملات المتنازع عليها. يمكن لمُخترق أن يدعي أن معاملة موجودة في عقدة ضمن SHAMap، رغم أنها ليست موجودة فعليًا. أي مدقق يتلقى مجموعة المعاملات الخبيثة سيتوقف عن العمل عند محاولة البحث عن معرف المعاملة باستخدام معرف عقدة غير صحيح.
الثغرة 2: إعادة إرسال المعاملات
استفادت الثغرة الثانية من آلية إعادة إرسال المعاملات المتنازع عليها. يمكن لمُخترق أن يرسل مجموعة معاملات تحتوي على بيانات معاملة عشوائية. عندما يحدد المدققون الآخرون أن المعاملة متنازع عليها ويحاولون إعادة إرسالها، يقومون بإجراء فحص لمعرفة ما إذا كانت معاملة زائفة. البيانات غير الصحيحة في مجموعة المعاملات ستتسبب في تعطل المدقق أثناء هذا الفحص.
الحلول والإصلاحات
تنفيذ الإصلاحات
لمعالجة الثغرة الأولى، أضاف المطورون فحصًا إضافيًا للتأكد من أن المعاملة يمكن العثور عليها في العقدة التي أشارت إليها المقترحات. بالنسبة للثغرة الثانية، أُضيف معالج try-catch لإدارة الاستثناءات التي تُطلق عند فحص معاملات خبيثة.
الاختبار والتصديق
نشر فريق Ripple نسخة معدلة من rippled على منصة الاختبار لمحاكاة اختراق أحد مدققي UNL. بدون الإصلاحات، كانت كلا الهجمتين تتسبب في تعطل جميع العقد التي تتلقى رسائل خبيثة. بعد تطبيق الإصلاحات، لم تعد العقد التي تتلقى رسائل معدلة تتعطل.
الجدول الزمني
- 9 يونيو 2025: الاكتشاف الأول وتقديم التقرير
- 10 يوليو 2025: نشر بيئة الاختبار
- 6 أغسطس 2025: إعادة إنتاج الثغرة الأولى
- 11 أغسطس 2025: إعادة إنتاج الثغرة الثانية
- 19 أغسطس 2025: إنشاء الإصلاحات في المستودع الخاص
- 10 أكتوبر 2025: اختبار الإصلاحات من قبل Common Prefix
- 16 أكتوبر 2025: اعتماد الإصلاحات من قبل Common Prefix
- 9 ديسمبر 2025: إصدار الإصلاحات في rippled 3.0.0
- 23 مارس 2026: نشر تقرير الكشف العام عن الثغرات
تعزيزات الأمان
أوضحت Ripple عن مبادرات أمنية مستمرة لتعزيز وضعية أمان شبكة XRPL، بما في ذلك توسيع التدقيقات الأمنية للبرمجيات غير المُصدرة، مراجعات الكود بمساعدة الذكاء الاصطناعي، تنظيم هاكاثونات، وزيادة حوافز برامج مكافأة الثغرات.
الأسئلة الشائعة
ما الثغرات التي تم اكتشافها في سجل XRP؟
تم اكتشاف ثغرتين في إصدارات rippled حتى 2.6.2، كانتا قد تمنعان توافق الشبكة إذا تم اختراق أحد مدققي UNL. الأولى تتعلق بالبحث عن معرف المعاملة غير الصحيح أثناء حل النزاعات، والثانية تتعلق ببيانات معاملة غير سليمة تتسبب في تعطل أثناء فحوصات إعادة الإرسال.
هل تم استغلال هذه الثغرات؟
لا. تم اكتشاف الثغرات من خلال الكشف المسؤول من قبل Common Prefix، وتم إصدار الإصلاحات في rippled 3.0.0 في 9 ديسمبر 2025، قبل أن يتم استغلالها بشكل معروف.
ما هو مدقق UNL ولماذا هو مهم؟
مدقق UNL (قائمة العقد الفريدة) هو عقدة موثوقة تشارك في توافق سجل XRP. يتكون UNL الافتراضي من حوالي 35 مدققًا. يعد اختراق مدقق UNL تحديًا لأنه عادةً ما يتواصل عبر عقد بروكسي، لكن الباحثين أشاروا إلى أنه ليس مستحيلًا. كانت الثغرات تتطلب مثل هذا الاختراق لاستغلالها.
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة من مصادر خارجية ولا تمثل آراء أو مواقف Gate. المحتوى المعروض في هذه الصفحة هو لأغراض مرجعية فقط ولا يشكّل أي نصيحة مالية أو استثمارية أو قانونية. لا تضمن Gate دقة أو اكتمال المعلومات، ولا تتحمّل أي مسؤولية عن أي خسائر ناتجة عن استخدام هذه المعلومات. تنطوي الاستثمارات في الأصول الافتراضية على مخاطر عالية وتخضع لتقلبات سعرية كبيرة. قد تخسر كامل رأس المال المستثمر. يرجى فهم المخاطر ذات الصلة فهمًا كاملًا واتخاذ قرارات مدروسة بناءً على وضعك المالي وقدرتك على تحمّل المخاطر. للتفاصيل، يرجى الرجوع إلى
إخلاء المسؤولية.
