El XRP Ledger defiende el parche de emergencia para el fallo de XRP ilimitado

Los desarrolladores del XRP Ledger han defendido el parche de seguridad de emergencia utilizado para corregir un fallo capaz de generar XRP más allá de la oferta fija de la red, afirmando que no podían esperar la votación habitual de dos semanas de los validadores sin exponer la vulnerabilidad a atacantes.

La corrección, publicada el 25 de septiembre, llegó tres días después de un informe de recompensa por errores y entró en vigor inmediatamente en cualquier servidor que la instalara. Según ellos, fue la primera omisión deliberada del proceso normal de enmiendas desde su introducción hace más de diez años.

«Con una votación normal de enmiendas, la corrección habría sido pública durante semanas antes de entrar en vigor, poniendo en riesgo la seguridad de la red», afirmaron los desarrolladores del XRPL en un mensaje de X el domingo.

Esta corrección acelerada generó dudas sobre el nivel de descentralización del XRPL. En su sitio web, el XRPL afirma ser una blockchain pública totalmente descentralizada, una caracterización central en los argumentos de que su token nativo, XRP, no es un valor.

La corrección de seguridad del XRPL «planteó muchas preguntas»

Justin Bons, fundador de Cyber Capital, dijo el jueves que comercializar XRP ante inversores minoristas como descentralizado equivalía a «fraude directo». Argumentó que la versión de emergencia del 25 de septiembre se distribuyó únicamente como binarios, ocultó temporalmente el código fuente y presionó a los operadores para actualizar.

No obstante, la Fundación XRPL señaló que la decisión de omitir el proceso normal de enmiendas fue tomada conjuntamente por la Fundación, RippleX, los desarrolladores principales y los validadores tras evaluar la gravedad del fallo.

«Ninguna parte individual pudo tomar esa decisión sola. Cada validador y operador de nodos elige qué software ejecutar, y la versión 3.4.1 solo se volvió obligatoria mediante una votación normal de enmiendas con más del 80 % de apoyo de validadores durante dos semanas. Los cambios al protocolo siguen sometiéndose a enmiendas», indicó la fundación.

XRP Kuwait, un operador independiente de validadores, también rechazó las afirmaciones de que las actualizaciones coordinadas indicaran control centralizado.

«Discrepamos con la afirmación de que la coordinación entre operadores para una actualización constituya, por sí misma, prueba de control centralizado», declaró. «Coordinarse no equivale a controlar. Operadores independientes pueden evaluar una situación, comunicarse entre sí y llegar a la misma conclusión sin renunciar a su independencia.»

El fallo podría haber acuñado XRP ilimitado

Según el informe de divulgación de vulnerabilidades del proyecto, el fallo era un desbordamiento de enteros en el motor de pagos del XRP Ledger, presente desde 2015.

Los saldos de XRP se almacenan como enteros de 64 bits con un máximo fijo. Cuando una suma superaba dicho máximo, el cálculo se reiniciaba en un número menor en lugar de fallar.

Un atacante podría explotarlo creando cientos de ofertas con precios específicos, cada una solicitando una cantidad muy grande de XRP, y luego enviando un único pago que las consumiera todas.

El motor acreditaría a cada propietario de oferta la cantidad completa, pero cobraría al comprador solo el pequeño total reiniciado. La diferencia correspondería a XRP recién creado y gastable.

El ataque requería ofertas intencionalmente diseñadas y no podía activarse mediante actividad comercial normal, según el informe. Los desarrolladores afirmaron no haber hallado evidencia de que el fallo se hubiera explotado en ninguna red pública.

Revista: Ataque a Ledger se extiende a la UE; la IA detecta un error de «18 billones de XRP»: Resumen para hodlers