XRP Ledger, sınırsız XRP oluşturma hatası için acil düzeltmeyi savundu

XRP Ledger geliştiricileri, ağın sabit arzını aşarak XRP oluşturabilen bir hatayı düzeltmek için kullanılan acil güvenlik düzeltmesini savundu ve bu hatanın saldırganlara açığa çıkmasını önlemek için ağın normal iki haftalık doğrulayıcı oylamasını bekleyemeyeceklerini belirtti.

Düzeltme, bir hata ödüllü raporun ardından üç gün sonra, 25 Eylül’de yayınlandı ve yükleyen her sunucuda hemen etkinleşti. Geliştiricilere göre bu, sistem daha on yıldan fazla süredir varken normal değişiklik sürecinin ilk kasıtlı atlanmasıydı.

XRPL geliştiricileri, Pazar günü X’ta paylaştıkları bir gönderide: «Normal bir değişiklik oylamasıyla düzeltme etkinleşmeden önce haftalarca kamuoyuna açıklanacaktı ve ağ güvenliği risk altında kalacaktı» dedi.

Hızlandırılmış düzeltme, XRPL’nin merkeziyetsizlik düzeyiyle ilgili sorular doğurdu. XRPL web sitesinde, tamamen merkeziyetsiz ve kamuya açık bir blokzincir olduğu iddia ediliyor; bu tanımlama, yerel token’ı XRP’nin bir menkul kıymet olmadığı yönündeki tartışmalarda temel bir unsur.

XRPL güvenlik düzeltmesi «çok sayıda soru doğurdu»

Cyber Capital kurucusu Justin Bons, Perşembe günü XRP’nin perakende yatırımcılara merkeziyetsiz olarak pazarlanmasının «doğrudan sahtecilik» olduğunu söyledi. 25 Eylül’deki acil sürümün yalnızca ikili dosyalar (binary) olarak yayımlandığını, kaynak kodun geçici olarak gizlendiğini ve operatörlere güncelleme yapılması baskısı yapıldığını ileri sürdü.

Ancak XRPL Vakfı, normal değişiklik sürecini atlama kararının, vakıf, RippleX, çekirdek geliştiriciler ve doğrulayıcılar tarafından hatanın ciddiyeti değerlendirildikten sonra ortaklaşa alındığını belirtti.

«Bu kararı tek başına vermek mümkün değildi. Her doğrulayıcı ve düğüm operatörü, çalıştırmak istediği yazılımı seçer; 3.4.1 sürümü ise iki hafta boyunca %80’in üzerinde doğrulayıcı desteğine sahip normal bir değişiklik oylamasıyla zorunlu hale geldi. Protokol değişiklikleri hâlâ değişiklik süreçleriyle yapılır» dedi vakıf.

Bağımsız bir doğrulayıcı operatörü olan XRP Kuwait, koordine edilen güncellemelerin merkezileşmiş kontrolün kanıtı olduğunu iddia eden görüşleri reddetti.

«Operatörlerin bir güncelleme konusunda koordine olması, kendiliğinden merkezileşmiş kontrolün kanıtı değildir» dedi. «Koordinasyon, kontrol demek değildir. Bağımsız operatörler durumu değerlendirebilir, birbirleriyle iletişim kurabilir ve bağımsızlıklarını kaybetmeden aynı sonuca ulaşabilir.»

Hata, sınırsız XRP basımına yol açabilirdi

Projenin güvenlik açıkları raporuna göre, bu hata, XRP Ledger ödeme motorunda 2015’ten beri bulunan bir tamsayı taşmasıydı.

XRP bakiyeleri, sabit maksimum değerli 64 bitlik tamsayılar olarak saklanır. Bir toplam bu maksimumu aştığında hesaplama başarısız olmak yerine küçük bir sayıya döner.

Saldırgan, yüzlerce özel fiyatlı teklif oluşturarak ve hepsinden çok büyük miktarda XRP isteyerek bu hatayı istismar edebilirdi; ardından tüm teklifleri tüketen tek bir ödeme gönderirdi.

Motor, her teklif sahibine tam tutarı kredilerdi ama alıcıdan yalnızca küçük dönen toplamı tahsil ederdi. Fark, yeni oluşturulmuş ve harcanabilir XRP olurdu.

Rapora göre bu saldırı, özel olarak oluşturulmuş teklifler gerektiriyordu ve normal işlem faaliyetleriyle tetiklenemezdi. Geliştiriciler, bu sorunun herhangi bir genel ağda istismar edildiğine dair hiçbir kanıt bulmadıklarını belirtti.

Dergi: Defter saldırısı AB'ye yayılıyor, Yapay Zeka '18 trilyon XRP' hatasını buldu: Hodler Özeti