XRP Ledger obhajuje núdzovú záplatu pre chybu neobmedzeného množstva XRP

Vývojári XRP Ledger obhajovali núdzovú záplatu implementovanú na riešenie kritickej chyby, ktorá mohla viesť k neobmedzenej ponuke XRP. Vývojári uviedli, že odloženie opravy, aby sa dodržal štandardný dvojtýždňový proces hlasovania validátorov siete, by vystavilo zraniteľnosť potenciálnym útočníkom.

Záplata bola nasadená 25. septembra, tri dni po nahlásení chyby prostredníctvom programu odmien. Toto bol prvý prípad zámerného obídenia obvyklého procesu zmien od jeho vzniku pred viac ako desiatimi rokmi, čo vyvolalo otázky o decentralizácii siete.

Zrýchlená povaha opravy vyvolala diskusie týkajúce sa decentralizácie XRP Ledger, ktorá sa charakterizuje ako plne decentralizovaný verejný blockchain. Justin Bons, zakladateľ Cyber Capital, komentoval, že marketing XRP retailovým investorom ako decentralizovaného, vzhľadom na tieto okolnosti, predstavoval podvod, pričom poznamenal, že núdzové vydanie bolo distribuované ako binárne súbory s dočasne zadržaným zdrojovým kódom.

Nadácia XRPL však objasnila, že obídenie štandardného procesu zmien bolo spoločnou dohodou medzi Nadáciou, RippleX, hlavnými vývojármi a validátormi, ktorá bola prijatá po vyhodnotení závažnosti chyby. Nadácia zdôraznila, že žiadna jednotlivá strana nemohla urobiť toto rozhodnutie jednostranne. XRP Kuwait, nezávislý operátor validátorov, tiež vyvrátil tvrdenia, že koordinované upgrady naznačovali centralizovanú kontrolu, pričom tvrdil, že komunikácia medzi operátormi neohrozuje autonómiu.

Zraniteľnosť, identifikovaná ako pretečenie celého čísla v platobnom mechanizme XRP Ledger, bola prítomná od roku 2015. Zostatky XRP sú uložené ako 64-bitové celé čísla s pevnou maximálnou hodnotou. Chyba spôsobila, že výpočty sa obalili na menšie číslo, keď súčet prekročil toto maximum, namiesto toho, aby zlyhali.

Útočník mohol túto chybu zneužiť vytvorením mnohých špeciálne nacenených ponúk, z ktorých každá požadovala veľmi veľké množstvo XRP. Jediná platba, ktorá by spotrebovala tieto ponuky, by pripísala každému majiteľovi ponuky plnú sumu, zatiaľ čo kupujúcemu by účtovala iba obalenú celkovú sumu, čím by sa vytvorilo nové, miniteľné XRP. Vývojári nehlásili žiadne dôkazy o zneužití problému v žiadnej verejnej sieti.