วิศวกร Ripple เตือนภัย AI หลังเร่งแก้บั๊กใหญ่บน XRP Ledger

บั๊กใหญ่บน XRPXRP-0.53% Ledger ถูกแก้เรียบร้อยแล้ว

นักพัฒนาที่ดูแล XRP Ledger เพิ่งจะอัปเดตแก้บั๊กซอฟต์แวร์ระดับร้ายแรงไปครับ โดยบั๊กตัวนี้แอบซ่อนอยู่ในระบบมานานถึง 10 ปีเลยทีเดียว

หากถูกแฮกเกอร์โจมตี ช่องโหว่นี้อาจเปิดโอกาสให้สามารถเสกเหรียญ XRP ใหม่ขึ้นมาได้ถึงหลายสิบล้านล้านเหรียญจากอากาศว่างเปล่า

หลังจากแก้ไขเสร็จ Mayukha Vadari วิศวกรจาก RippleX ได้ออกมาเตือนชาวคริปโตว่า AI กำลังเข้ามาเปลี่ยนวิธีการจัดการบั๊กด้านความปลอดภัยไปอย่างสิ้นเชิง

"ยุคนี้ AI เปลี่ยนทุกอย่างไปแล้วค่ะ คุณจะแอบใส่ตัวแก้บั๊กร้ายแรงในการอัปเดตสาธารณะแบบปกติไม่ได้อีกต่อไป เพราะ AI จะจับได้และถูกถอดรหัสทำย้อนกลับทันที" Vadari กล่าว

AI ค้นพบบั๊กอายุ 10 ปีได้อย่างไร?

เมื่อวันที่ 21 กันยายน แพลตฟอร์มความปลอดภัยพลัง AI ที่ชื่อ Veria AI ของทีม Veria Labs ได้ตรวจพบช่องโหว่นี้เข้า

ทีมนักวิจัยจาก Veria Labs ได้แจ้งรายงานช่องโหว่นี้ในวันถัดมา ผ่านโครงการ Bug Bounty อย่างเป็นทางการของ XRP Ledger

ทาง Veria Labs ระบุว่า ในทางทฤษฎี ช่องโหว่นี้อาจเปิดช่องให้แฮกเกอร์สร้างเหรียญ XRP ขึ้นมาได้สูงถึง 18.45 ล้านล้านเหรียญในการทำธุรกรรมแค่ครั้งเดียว

ถ้าลองเปรียบเทียบดู อุปทานสูงสุดของ XRP ถูกจำกัดไว้ที่ 1 แสนล้านเหรียญ การเสก 18.45 ล้านล้านเหรียญจึงมากกว่าอุปทานทั้งหมดเกิน 184 เท่าเลยครับ

แฮกเกอร์อาจโอนเหรียญที่เสกขึ้นมาใหม่นี้ไปขายยังศูนย์ซื้อขายภายนอก ซึ่งส่งผลกระทบอันตรายต่อมูลค่าตลาดทั้งหมดของ XRP ที่ประเมินไว้ราว 9.4 หมื่นล้านดอลลาร์ในตอนที่รายงาน

ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลหรือมูลค่าตลาดในอดีต มิได้เป็นสิ่งยืนยันถึงผลการดำเนินงานหรือความเสถียรของราคาในอนาคต

มีเงินของใครสูญหายหรือไม่?

โชคดีที่ทีมพัฒนา XRP Ledger ยืนยันว่า ยังไม่มีใครแอบใช้ช่องโหว่นี้บนเครือข่ายจริง

เงินของผู้ใช้ทุกคนยังคงปลอดภัย 100% ตลอดกระบวนการครับ

อย่างไรก็ตาม ขนาดความเสียหายที่อาจเกิดขึ้นได้นั้น ถือเป็นหนึ่งในปัญหาระบบที่ร้ายแรงที่สุดในประวัติศาสตร์ของ XRPL

ทำความเข้าใจช่องโหว่ทางเทคนิค

ปัญหาทางเทคนิคนี้ถูกระบุว่าเป็นอาการ integer overflow (การคำนวณตัวเลขเกินขีดจำกัด) ภายในระบบชำระเงินของ XRP Ledger

บั๊กนี้เริ่มมาจากโค้ดที่เขียนไว้ตั้งแต่ปี 2015 ซึ่งเกี่ยวกับวิธีที่เครือข่ายคำนวณยอดเงินเมื่อจับคู่คำสั่งซื้อขายหลายรายการบน Decentralized Exchange

เพื่อให้เห็นภาพง่ายๆ ลองนึกถึงเกจไมล์รถยนต์แบบเก่าที่สิ้นสุดที่ 999,999 ไมล์ พอวิ่งเพิ่มอีกแค่ไมล์เดียว มันจะวนกลับไปที่เลขศูนย์ใหม่

ในกรณีนี้ แฮกเกอร์อาจสร้างคำสั่งซื้อขายแบบพิเศษหลายร้อยรายการที่มีมูลค่า XRP สูงผิดปกติ

เมื่อระบบประเมินผลรวมกัน การคำนวณจะทะลุขีดจำกัดสูงสุดของระบบแบบ 64-bit

และแทนที่ระบบจะปฏิเสธรายการที่ผิดพลาด ผลการคำนวณกลับปัดวนลงมากลายเป็นตัวเลขที่น้อยมากๆ แทน

ส่งผลให้ผู้ซื้อจ่ายเงินเพียงนิดเดียว แต่กลับได้รับเหรียญ XRP ไปแบบเต็มๆ จากผู้ขาย

ที่แย่ไปกว่านั้นคือ กลไกภายในที่ออกแบบมาเพื่อป้องกันไม่ให้เสก XRP ขึ้นมาลอยๆ ก็ติดบั๊กคำนวณผิดพลาดแบบเดียวกันนี้ด้วย

การอัปเดตฉุกเฉินและข้อถกเถียงเรื่อง Open-Source

เมื่อวันที่ 25 กันยายน ทีมพัฒนาได้ปล่อยซอฟต์แวร์อัปเดตฉุกเฉินเวอร์ชัน xrpld 3.4.1 เพื่อแก้ไขปัญหานี้

แต่ทีมพัฒนาได้ตัดสินใจอย่างแปลกประหลาด โดยการชะลอการเปิดเผยโค้ดต้นฉบับสู่สาธารณะไว้ชั่วคราว แล้วปล่อยออกมาเฉพาะไฟล์โปรแกรมสำเร็จรูปเท่านั้น

การตัดสินใจนี้ทำให้เกิดข้อถกเถียงอย่างหนักในชุมชนนักพัฒนา เกี่ยวกับหลักการของ Open-Source

นักวิจารณ์บางส่วนมองว่าการซ่อนโค้ดขัดกับอุดมการณ์ความโปร่งใสของเครือข่ายบล็อกเชน

ขณะที่ฝั่งนักพัฒนาออกมาชี้แจงว่า การเปิดเผยโค้ดทันทีจะทำให้ผู้ประสงค์ร้ายฉวยโอกาสเอาเปรียบได้

ทำไม AI ถึงเปลี่ยนความปลอดภัยของบล็อกเชนไปตลอดกาล

Vadari อธิบายว่า วิธีการอัปเดตแก้บั๊กแบบเดิมๆ ใช้ไม่ได้ผลอีกแล้วในยุคของปัญญาประดิษฐ์

เมื่อก่อน นักพัฒนาสามารถปล่อยอัปเดตโค้ดแบบเปิดเผยได้โดยไม่มีความเสี่ยงทันที เพราะยังมีช่องว่างเวลากว่าที่แฮกเกอร์จะไหวตัวทัน

แต่ทุกวันนี้ เครื่องมือ AI อัตโนมัติสามารถสแกนคลังโค้ดสาธารณะได้ทันที AI วิเคราะห์สิ่งที่เปลี่ยนไปได้ในไม่กี่วินาที และรู้ได้ทันทีว่าบั๊กจุดไหนกำลังถูกอัปเดตปิดช่องโหว่

สิ่งนี้ทำให้เกิดช่วงเวลาความเสี่ยงที่แคบมาก ระหว่างการปล่อยตัวอัปเดตกับการรอให้ผู้รันโหนดอัปเกรดระบบ

เมื่อเครื่องมือ AI ฉลาดขึ้นเรื่อยๆ ทีมพัฒนาบล็อกเชนจึงต้องกลับมาทบทวนวิธีจัดการอัปเดตความปลอดภัยฉุกเฉินใหม่ เพื่อรักษาความปลอดภัยของเครือข่ายให้ได้