دفترکل XRP اقدامات اضطراری برای رفع باگ تولید نامحدود XRP را دفاع می‌کند

توسعه‌دهندگان دفترکل XRP اقدام امنیتی اضطراری برای رفع باگی که قادر به ایجاد XRP فراتر از عرضهٔ ثابت شبکه بود را دفاع کرده‌اند و گفته‌اند که نمی‌توانستند بدون آشکارسازی این آسیب‌پذیری در برابر مهاجمان، منتظر رأی‌گیری معمول دو هفته‌ای معتبران شبکه بمانند.

این رفع‌اشکال در ۲۵ سپتامبر منتشر شد؛ سه روز پس از گزارش جایزهٔ آسیب‌پذیری. این رفع‌اشکال بلافاصله پس از نصب روی هر سروری اعمال شد و اولین دور زدن عمدی فرآیند معمول اصلاحیه‌ها از زمان معرفی سیستم بیش از ده سال پیش بود.

توسعه‌دهندگان XRPL در یک پست در X (توئیتر) در روز شنبه گفتند: «با رأی‌گیری معمول اصلاحیه، رفع‌اشکال هفته‌ها قبل از اجرای آن عمومی می‌شد و امنیت شبکه را به خطر می‌انداخت.»

این رفع‌اشکال سریع، سؤالاتی دربارهٔ سطح غیرمتمرکز بودن XRPL ایجاد کرد. در وب‌سایت خود، XRPL ادعا می‌کند که یک بلاکچین عمومی و کاملاً غیرمتمرکز است — ادعایی که در استدلال‌هایی مبنی بر اینکه توکن ذاتی آن، XRP، یک اوراق بهادار نیست، نقش محوری داشته است.

رفع‌اشکال امنیتی XRPL «سؤالات زیادی را برانگیخت»

جاستین بونز، بنیان‌گذار سرمایه‌گذاری سایبری، در روز پنج‌شنبه گفت که بازاریابی XRP در میان سرمایه‌گذاران خرد به عنوان یک سیستم غیرمتمرکز، «مستقیماً کلاهبرداری» محسوب می‌شود. او استدلال کرد که انتشار اضطراری ۲۵ سپتامبر تنها به صورت باینری انجام شد، کد منبع موقتاً منتشر نشد و عملیات‌گران تحت فشار قرار گرفتند تا به‌روزرسانی کنند.

با این حال، بنیاد XRPL گفت تصمیم برای صرف‌نظر کردن از فرآیند معمول اصلاحیه توسط بنیاد، RippleX، توسعه‌دهندگان اصلی و معتبران پس از ارزیابی شدت باگ به‌صورت مشترک گرفته شده است.

بنیاد گفت: «هیچ طرف منفردی نمی‌توانست این تصمیم را به‌تنهایی بگیرد. هر معتبر و عملیات‌گر گره، نرم‌افزاری را که اجرا می‌کند را خودش انتخاب می‌کند و نسخهٔ ۳.۴.۱ تنها پس از رأی‌گیری معمول اصلاحیه با حمایت بیش از ۸۰٪ معتبران در دو هفته اجباری شد. تغییرات پروتکل همچنان از طریق اصلاحیه‌ها اعمال می‌شوند.»

XRP Kuwait، یک معتبر مستقل، ادعاهای مبنی بر اینکه به‌روزرسانی‌های هماهنگ‌شده نشان‌دهندهٔ کنترل متمرکز است را رد کرد.

او گفت: «ما با ادعای اینکه هماهنگی عملیات‌گران به‌خودی‌خود مدرکی از کنترل متمرکز است، مخالفیم. هماهنگی یعنی کنترل نیست. عملیات‌گران مستقل می‌توانند وضعیتی را ارزیابی کنند، با یکدیگر ارتباط برقرار کنند و بدون از دست دادن استقلال خود به نتیجه‌ای یکسان برسند.»

این باگ می‌توانست XRP نامحدودی ایجاد کند

طبق گزارش افشای آسیب‌پذیری پروژه، این باگ یک سرریز عدد صحیح در موتور پرداخت دفترکل XRP بود که از سال ۲۰۱۵ وجود داشته است.

موجودی‌های XRP به‌صورت اعداد صحیح ۶۴ بیتی با حداکثر ثابت ذخیره می‌شوند. هنگامی که مجموعی این حداکثر را تجاوز می‌کرد، محاسبه به جای خطا، به عدد کوچک‌تری بازگشت می‌کرد.

یک مهاجم می‌توانست با ایجاد صدها پیشنهاد ویژه‌قیمت‌گذاری‌شده — که هرکدام مقدار بسیار زیادی XRP را درخواست می‌کردند — و سپس ارسال یک پرداخت که همهٔ آن‌ها را مصرف می‌کرد، از این باگ سوءاستفاده کند.

موتور به صاحبان هر پیشنهاد تمام مبلغ درخواستی را اعتبار می‌داد، اما از خریدار تنها مجموع بسیار کوچک بازگشتی را کسر می‌کرد. تفاوت این دو، XRP جدیدی بود که ایجاد و قابل خرج شدن می‌شد.

گزارش اعلام کرده است که این حمله نیازمند ایجاد عمدی پیشنهادها بود و نمی‌توانست توسط فعالیت‌های معاملاتی معمولی فعال شود. توسعه‌دهندگان گفتند هیچ شواهدی از سوءاستفاده از این مسئله در هیچ شبکهٔ عمومی یافت نشده است.

مجله: حمله Ledger به اتحادیه اروپا گسترش یافته، هوش مصنوعی باگ «۱۸ تریلیون XRP» را کشف کرده است: خلاصه‌ای از اخبار برای نگهدارندگان