Ripple зменшує площу атаки XRP Ledger, готуючи тестування кредитування з використанням ШІ

Ripple зменшує площу атаки XRP Ledger (XRPL), готуючи розширення рідного кредитування.

Компанія рекомендує видалити понад 10 000 рядків невикористаного коду XChainBridge, поки Протокол кредитування V1.1 проходить аудит безпеки, що виконується виключно за допомогою ШІ через Аудиторський механізм Sherlock.

Ці паралельні зусилля відбуваються на фоні нового тиску на криптоплатформи, щоб зміцнити свої захисти. У першій половині 2026 року було втрачено понад 1,31 мільярда доларів через 344 інциденти безпеки, причому вразливості коду залишаються найпоширенішою категорією атак у галузі.

Axelar залишає Ripple з 10 000 рядків, які вона більше не хоче

Оригінальний аргумент на користь збереження XChainBridge (XLS-38) послабився після того, як Ripple звернулася до Axelar для XRPL EVM Sidechain, а ширший попит на рідний міст не реалізувався.

XLS-38 був розроблений для того, щоб дозволити активам переміщатися між XRPL та підключеними сайдчейнами через свідків, які спостерігають за транзакціями та підтверджують активність у мережах. Архітектура була призначена для підтримки приватних, дозволених та експериментальних сайдчейнів, а також для забезпечення мосту між основною мережею XRPL та EVM Sidechain.

Ripple врешті-решт обрала Axelar для EVM Sidechain після оцінки безпеки, користувацького досвіду, децентралізації та операційних вимог до підтримки мосту.

Компанія зазначила, що модель свідка XLS-38 мала компроміси, які ставали важчими для управління, оскільки зростала вартість, що захищається мостом. Розширення набору свідків могло б покращити децентралізацію, але додати складність координації та управління, тоді як менша група зосереджувала б більше довіри серед операторів.

Ripple оголосила про своє рішення використовувати Axelar у червні 2024 року, але залишила XLS-38 доступним для голосування валідаторів і надала розробникам приблизно 12-15 місяців, щоб продемонструвати попит на приватні сайдчейни, які конкретно вимагали зміни.

Однак цей попит не досяг рівня, якого Ripple очікувала.

В результаті утворився значний блок неактивного коду, який розробники повинні продовжувати підтримувати та переглядати, навіть якщо його основне використання було вирішене в іншому місці.

Ripple оцінює, що відкликання XChainBridge та пов'язаної поправки fixXChainRewardRounding врешті-решт видалить понад 10 000 рядків з xrpld.

Ripple визначила витрати на обслуговування, складність учасників та площу атаки як витрати на збереження неактивної функціональності, стверджуючи, що XRPL має залишатися компактним у міру розвитку мережі.

Рекомендація не видаляє XLS-38 негайно. Ripple контролює один голос валідатора, і пропозиція залишається підлягає процесу поправок XRPL.

Якщо спільнота підтримує зміну, Ripple планує спочатку позначити XChainBridge як застарілий. Валідатори, які приймають версію програмного забезпечення з цим позначенням, перестануть голосувати за поправку, що дозволить видалити код у наступному випуску, коли мережа конвергує.

Ripple також залишила відкритою можливість перегляду, якщо розробники зможуть продемонструвати конкретні проекти, які все ще потребують XLS-38.

Кредитування піднімає іншу проблему безпеки

Зменшення застарілого коду відбувається на фоні підготовки XRPL до впровадження інфраструктури кредитування з значно більшою кількістю фінансових взаємодій, які потрібно захистити.

Протокол кредитування V1.1 базується на зусиллях Ripple щодо впровадження рідних можливостей позики та кредитування в XRPL разом із Одноактивними сховищами. Основна архітектура поєднує управління життєвим циклом позики, розрахунки процентних ставок, маршрутизацію зборів між кількома сторонами, дозволи на основі облікових даних та взаємодії з активними фондами.

Ripple описала кредитну систему як одну з найфінансово складних додатків, розроблених для XRPL з моменту запуску мережі.

27 серпня Sherlock повідомив, що V1.1 пройшов інтенсивний огляд безпеки, що виконується виключно за допомогою штучного інтелекту, через свій Audit Engine. Система поєднує кілька AI-аудиторів та передові моделі з спеціалізованими можливостями безпеки, коригуючи охоплення та глибину відповідно до протоколу, що перевіряється.

Sherlock не розкрив жодних висновків або дати завершення. Він зазначив, що більш детальний звіт буде надано після завершення процесу.

Огляд слідує за незвично широким процесом безпеки для попередньої кодової бази кредитування та Single Asset Vault, де повторне тестування виявило вразливості навіть після попередніх раундів перевірки.

Ripple та Immunefi провели атакувальний марафон на $200,000 наприкінці 2025 року, охоплюючи 35,498 рядків коду. Це привернуло 455 подань від 131 дослідника і в результаті дало 94 унікальних дійсних висновки, з яких 15 були класифіковані як критичні, а 19 - як високої серйозності. Ripple заявив, що усунув усі виявлені проблеми.

Компанія потім піддала кредитну систему додатковим аудитам, тестуванню спільноти, фуззингу та програмі червоної команди з підтримкою AI.

Між березнем та травнем червона команда Ripple подала 20 квитків, специфічних для кредитування, і виявила сім підтверджених помилок, які були виправлені.

Серед них були інвертований інваріант, який міг дозволити непомічену фантому заставу, вектор спаму без комісії, що стосується платежів за кредитами, та проблема переповнення цілого числа, яка могла призвести до блокування вузла.

Ці висновки надають практичну причину для повторного тестування, оскільки Ripple працює над V1.1. Компанія зазначила, що вдосконалення враховує відгуки партнерів та уроки з попередньої реалізації.

Ширша програма червоної команди AI Ripple також виявила проблеми високої серйозності поза кредитуванням. Огляд, зосереджений на безпеці, xrpld, випущений раніше цього року, включав виправлення для публічно доступних шляхів аварій, проблем перевірки меж та взаємодій між функціями, виявлених через програму та супутнє тестування.

Хвиля атак у криптоіндустрії підвищує вартість пропущених помилок

Розширення програми безпеки XRPL збігається з атакувальним середовищем в індустрії, яке залишалося витратним, незважаючи на роки аудитів та програм винагород за вразливості.

У липні CertiK зафіксував $1.315 мільярда збитків через 344 інциденти безпеки протягом перших шести місяців 2026 року.

Хоча це було нижче заголовкової цифри з попереднього року, H1 2025 включав винятковий витік Bybit на $1.45 мільярда. Виключаючи цю подію, CertiK підрахував, що порівняльні збитки зросли приблизно на 28% цього року.

Вразливості коду були найпоширенішим типом атак, з'являючись у 204 інцидентах. CertiK також виявив, що зловмисники все частіше повертаються до контрактів, які мають більше року, що показує, як вразливості можуть залишатися експлуатованими навіть після розгортання програмного забезпечення.

Деякі з найбільших збитків сталися через інші слабкості. Компрометації гаманців призвели до збитків понад $444 мільйони, тоді як компрометація Kelp DAO RPC та витік Drift Protocol разом становили $576 мільйонів.

Ця відмінність є значущою, оскільки жоден аудит коду, чи то на основі AI, чи ні, не вирішує всі загрози безпеці, з якими стикається протокол або його користувачі.

Відповідно, Ripple використовує кілька рівнів тестування, а не покладається виключно на AI. Процес розробки кредитування включав незалежні аудити, публічні конкурси безпеки, фуззинг, формальні методи, тестування спільноти та виявлення вразливостей з підтримкою AI.

Власні дослідники безпеки Ripple також застерегли від сприйняття AI як заміни експертному огляду. Компанія зазначила, що її AI-потоки генерують хибнопозитивні результати, і що людська валідація залишається особливо важливою для тонких помилок, де модель може неправильно інтерпретувати, як повинен поводитися інваріант.

Це створює додатковий тест для залучення Шерлока, яке базується лише на штучному інтелекті. Огляд може показати, наскільки далеко спеціалізовані моделі можуть розширити покриття безпеки протоколів, але його корисність в кінцевому підсумку залежатиме від вразливостей, які він виявляє, і чи ці знахідки перетворяться на виправлення до того, як V1.1 просунеться вперед.

На даний момент Шерлок не оприлюднив жодних результатів. Тому Ripple намагається зменшити відомі джерела непотрібної складності в одній частині XRPL, піддаючи наступне покоління фінансових функцій все більш агресивному контролю, перш ніж на ньому буде залежати більше цінності.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.