XRP Ledger защищает экстренное исправление для уязвимости, позволяющей создавать неограниченное количество XRP

Разработчики XRP Ledger оправдали экстренное исправление безопасности, устраняющее ошибку, способную генерировать XRP сверх фиксированного лимита сети, заявив, что ждать обычного двухнедельного голосования валидаторов было бы рискованно из-за угрозы раскрытия уязвимости злоумышленникам.

Исправление, выпущенное 25 сентября, появилось через три дня после отчёта о баг-баунти и вступило в силу немедленно на любом сервере, где его установили. По их словам, это был первый намеренный обход стандартного процесса внесения изменений за более чем десятилетнюю историю системы.

«При обычном голосовании по внесению изменений исправление стало бы публичным за несколько недель до вступления в силу, что поставило бы безопасность сети под угрозу», — заявили разработчики XRPL в посте в X в воскресенье.

Ускоренное исправление вызвало вопросы о степени децентрализации XRPL. На своём сайте XRPL заявляет, что представляет собой полностью децентрализованную публичную блокчейн-сеть — утверждение, лежащее в основе аргументов о том, что его нативный токен XRP не является ценной бумагой.

Исправление безопасности XRPL «вызвало множество вопросов»

Основатель Cyber Capital Джастин Бонс заявил в четверг, что продвижение XRP розничным инвесторам как децентрализованного актива равносильно «прямому мошенничеству». Он отметил, что экстренное обновление от 25 сентября распространялось только в виде двоичных файлов, исходный код временно скрывался, а операторов давлением побуждали к обновлению.

Однако Фонд XRPL заявил, что решение пропустить стандартный процесс внесения изменений было принято совместно Фондом, RippleX, основными разработчиками и валидаторами после оценки серьёзности ошибки.

«Ни одна сторона не могла принять такое решение самостоятельно. Каждый валидатор и оператор узла сам выбирает, какое ПО запускать; версия 3.4.1 стала обязательной лишь после обычного голосования по внесению изменений с поддержкой более 80 % валидаторов в течение двух недель. Изменения протокола по-прежнему проходят через процедуру внесения изменений», — заявили в фонде.

XRP Kuwait — независимый оператор валидатора — также опроверг утверждения о том, что согласованные обновления свидетельствуют о централизованном управлении.

«Мы не согласны с утверждением, что координация обновлений операторами сама по себе доказывает централизованное управление», — говорится в сообщении. «Координация — не то же самое, что контроль. Независимые операторы могут самостоятельно оценивать ситуацию, взаимодействовать друг с другом и приходить к одинаковым выводам, не теряя своей независимости».

Уязвимость позволяла выпускать неограниченное количество XRP

Согласно отчёту о выявлении уязвимостей проекта, ошибка представляла собой переполнение целочисленной переменной в платёжном движке XRP Ledger и существовала с 2015 года.

Балансы XRP хранятся как 64-битные целые числа с фиксированным максимумом. При превышении этого предела вычисление «перекручивалось» к меньшему значению вместо аварийного завершения.

Злоумышленник мог использовать это, создавая сотни специально составленных офертов с запросом очень большого количества XRP, а затем отправляя один платёж, погашающий все эти офферы.

Движок начислял каждому владельцу оффера полную сумму, но списывал с покупателя лишь крошечную «перекрученную» сумму. Разница становилась новым, расходуемым XRP.

Атака требовала специально сконструированных офферов и не могла быть активирована при обычной торговой активности, согласно отчёту. Разработчики заявили, что не обнаружили доказательств эксплуатации этой уязвимости в какой-либо публичной сети.

Журнал: Атака на Ledger распространяется на ЕС, ИИ обнаружил ошибку «18 трлн XRP»: дайджест холдеров