XRP Ledger、無限XRPバグへの緊急パッチを擁護

XRP Ledger開発者は、ネットワークの固定供給量を超えてXRPを生成可能なバグを修正するための緊急セキュリティパッチを擁護し、この脆弱性を攻撃者に晒さぬよう通常の2週間のバリデータ投票を待てないと述べた。

この修正は9月25日にリリースされ、バグ報奨金報告から3日後で、インストールしたサーバーには即時適用された。開発者によると、これはシステム導入から10年以上経って初めての通常の改訂プロセスの意図的バイパスだった。

「通常の改訂投票では、修正が適用されるまで数週間も公開され、ネットワークのセキュリティが危険にさらされる」とXRP Ledger開発者は日曜日のX投稿で述べた。

迅速な修正は、XRPLの分散化水準についての疑問を招いた。XRPL公式サイトでは、同ネットワークは完全に分散化されたパブリックブロックチェーンであると主張しており、これはそのネイティブトークンXRPが証券ではないとする主張の根幹となっている。

XRPLのセキュリティ修正「多くの疑問を引き起こした」

サイバー・キャピタル創設者ジャスティン・ボンズ氏は木曜日、小売投資家向けにXRPを分散化されたものとして宣伝することは「明確な詐欺」だと指摘。9月25日の緊急リリースはバイナリのみで配布され、ソースコードが一時的に非公開となり、運用者がアップグレードを強いられたと主張した。

しかしXRPL財団は、通常の改訂プロセスをスキップするという判断は、財団・RippleX・コア開発者・バリデータが共同でバグの深刻度を評価した結果だと説明した。

「単一の当事者が独断でこれを決定することはできなかった。すべてのバリデータおよびノード運用者は、実行するソフトウェアを自ら選択できる。バージョン3.4.1は、2週間にわたり80％超のバリデータが支持した通常の改訂投票によってのみ必須化された。プロトコル変更は今後も改訂を通じて行われる」と財団は述べた。

独立系バリデータ運用者「XRP Kuwait」も、協調的なアップグレードが中央集権的支配を意味するとする主張を退けた。

「運用者がアップデートを協調して実施することが、それ自体で中央集権的支配の証拠であるとの主張には反論する。協調は支配とは異なる。独立した運用者は状況を独自に評価・相互に連絡し、独立性を損なわずとも同一の結論に達できる。」

バグにより無限のXRPが新規発行可能に

プロジェクトの脆弱性開示報告書によると、このバグは2015年から存在するXRP Ledger支払エンジン内の整数オーバーフローである。

XRP残高は最大値が固定された64ビット整数で格納される。合計がこの最大値を超えると、処理は失敗せず小さな数値へラップする。

攻撃者は、非常に大きなXRP額を要求する数百の特別価格オファーを作成し、それらをすべて消費する1回の支払いを送信することで、このバグを悪用できた。

エンジンは各オファー所有者に全額を付与するが、購入者からはラップ後の微小な合計額しか請求しない。その差額が新たに生成・使用可能なXRPとなる。

報告書によると、この攻撃は意図的に構成されたオファーを必要とし、通常の取引活動ではトリガーされない。開発者は、この問題がいずれかのパブリックネットワークで悪用された証拠は見つかっていないと述べた。

雑誌：レジャー攻撃がEUに拡大、AIが「18兆XRP」のバグを発見――ホルダー・ダイジェスト