XRP Postası ciddi güvenlik ihlali ile karşı karşıya, tehlikeye atılan özel anahtarlar ilk önce Coinpedia Fintech News’de ortaya çıktı
Son zamanlarda XRP, XRP Ledger’in JavaScript kütüphanelerinden birini içeren büyük bir güvenlik ihlali ile karşı karşıya kaldı. XRPL.JS adlı Ripple NPM JavaScript kütüphanesi, kullanıcıların özel anahtarlarını açıklayan bir yazılım tedarik zinciri saldırısında tehlikeye atıldı.
Güvenlik kusuru tarafından işaretlendi Aikido Güvenliği ve Ripple Cto David Scwartz tarafından doğrulandı. Sorun, Düğüm Paket Yöneticisi (NPM) kütüphanesinin belirli sürümlerini etkiler, ancak Xaman Cüzdan ve XRPSCAN gibi büyük XRP hizmetleri etkilenmediklerini doğruladı.
Etkilenen versiyonlar 4.2.1, 4.2.2, 4.2.3, 4.2.4 ve 2.14.2 idi. Ancak, sorun 4.2.5 ve 2.14.3 sürümlerinde düzeltilmiştir.
Bir bitcoin geliştiricisi olan Peter Todd, Ripple’ın yazılımındaki güvenlik riskleri konusunda PGP imzalama gibi uygun güvenlik önlemlerinin olmaması nedeniyle on yıl sonra, bir NPM uzlaşması nedeniyle bir dalgalanma arka kapısı olduğuna dikkat çekti. Ripple’ı, bu saldırıyı engelleyebilecek kodlarını doğrulamak için güvenli bir yöntem (PGP imzaları) kullanmadığı için eleştirdi.
PGP’nin yazılımlarını imzalamaması veya güvenli bir şekilde elde etmek için başka bir yol sağlamadığı için dalgalanma arka kapısının riskine dikkat çektikten 10 yıl sonra… NPM uzlaşması nedeniyle AA Ripple Backdoor var.
https://t.co/5z3x68keb5 pic.twitter.com/ikr3sg3pfd
– Peter Todd (@peterktodd) 23 Nisan 2025
Todd ayrıca, Pypi’nin PGP imzalarını aşamalı olarak kaldırması nedeniyle çoğu kullanıcı için kendi Python kütüphanesinin PGP’nin imzalanmadığını itiraf etti. Yazılım endüstrisini, üzerinde hiçbir kontrolü olmadığını vurgulayarak ‘beceriksiz’ olarak eleştirdi.
“Mukulljangid” adlı bir kullanıcı, 21 Nisan 2025’ten itibaren XRPL.JS paketine kötü amaçlı bir kod tanıttı ve ayrıca özel anahtarları çalmak ve harici bir alana göndermek için yeni bir işlev tanıttı. Saldırı, tehlikeye atılan bir Ripple çalışanının NPM hesabı aracılığıyla erişim kazandı. Ayrıca, saldırgan algılamayı önlemek için kısa sürede birden fazla versiyon kullandı, ancak GitHub deposunda bir arka kapı kanıtı yok.
XRP Ledger Vakfı bir açıklama yaptı ve XRPL.JS’nin tehlikeye atılmış sürümlerinin kaldırıldığını doğruladı. Geliştiricilere, ayrıntılı bir raporla birlikte 4.2.5 veya 2.14.3 sürümlerini kullanmaları tavsiye edilir.
Olay, özellikle müşteri desteğinin ve büyük miktarda paranın dahil olduğu kriptoda yazılım güvenliği konusunda endişeler yarattı.
Kaynak : CoinPedia
