Una vulnerabilidad podía «emitir XRP de la nada»: ya está corregida; ¿qué deben comprobar los titulares?
Lo que hay que comprobar esta vez es si los nodos se han actualizado y cuál es el estado de los depósitos y retiros en las plataformas utilizadas, no asumir que la divulgación de la vulnerabilidad significa que ya se haya emitido una gran cantidad de XRP. El equipo oficial ya publicó una versión corregida y afirma que no ha encontrado pruebas de que se haya explotado en la red pública; esto tampoco garantiza una seguridad absoluta en el futuro.
El 9 de octubre, XRPL publicó los detalles de una vulnerabilidad en el motor de pagos. El parche xrpld 3.4.1 se había publicado a finales de septiembre, así que se trata de una divulgación posterior a la corrección, no de un incidente de emisión repentina ocurrido ese día.
El problema estaba en los cálculos del servidor: una transacción especialmente diseñada podía provocar un desbordamiento del importe total, haciendo que el destinatario recibiera más y se descontara menos. La comprobación del suministro existente también utilizaba un algoritmo similar, por lo que decir que «la cantidad total es fija» no sustituye a una implementación correcta.
Pero no hay que confundir las dos correcciones. La vulnerabilidad que permitía emitir XRP de la nada se corrigió en cuanto se actualizaron los nodos; las reglas de corrección de otra vulnerabilidad, relacionada con el procesamiento por lotes Batch, no se activaron hasta el 9 de octubre. Ahora, los nodos con versiones antiguas quedan bloqueados por las nuevas reglas y no pueden seguir el ritmo de la red principal. No basta con que una página web siga abriéndose para concluir que el servicio funciona con normalidad.
Quienes operen sus propios nodos deben actualizarlos a la versión 3.4.1 o posterior, según las indicaciones oficiales, y comprobar el estado de sincronización. Quienes tengan XRP a través de una billetera o un exchange deben verificar los comunicados del proveedor y el estado de los depósitos y retiros de XRP correspondientes, en lugar de intentar «corregir» por su cuenta los saldos en la cadena.
Durante las próximas 48 horas, estaré atento a cualquier emisión anómala que pueda verificarse o a una interrupción de la red principal, así como a los comunicados de actualización y restablecimiento de los proveedores. Si aparecen pruebas de explotación en la red pública o los nodos actualizados vuelven a sufrir un problema similar, elevaré el nivel de riesgo. Solo reduciré el riesgo operativo en este aspecto cuando pueda verificarse que los servicios correspondientes se han sincronizado y que los fondos vuelven a acreditarse; no basta con que se hayan publicado «parches».
#XRP #资产安全 #Blockchain
Lo que hay que comprobar esta vez es si los nodos se han actualizado y cuál es el estado de los depósitos y retiros en las plataformas utilizadas, no asumir que la divulgación de la vulnerabilidad significa que ya se haya emitido una gran cantidad de XRP. El equipo oficial ya publicó una versión corregida y afirma que no ha encontrado pruebas de que se haya explotado en la red pública; esto tampoco garantiza una seguridad absoluta en el futuro.
El 9 de octubre, XRPL publicó los detalles de una vulnerabilidad en el motor de pagos. El parche xrpld 3.4.1 se había publicado a finales de septiembre, así que se trata de una divulgación posterior a la corrección, no de un incidente de emisión repentina ocurrido ese día.
El problema estaba en los cálculos del servidor: una transacción especialmente diseñada podía provocar un desbordamiento del importe total, haciendo que el destinatario recibiera más y se descontara menos. La comprobación del suministro existente también utilizaba un algoritmo similar, por lo que decir que «la cantidad total es fija» no sustituye a una implementación correcta.
Pero no hay que confundir las dos correcciones. La vulnerabilidad que permitía emitir XRP de la nada se corrigió en cuanto se actualizaron los nodos; las reglas de corrección de otra vulnerabilidad, relacionada con el procesamiento por lotes Batch, no se activaron hasta el 9 de octubre. Ahora, los nodos con versiones antiguas quedan bloqueados por las nuevas reglas y no pueden seguir el ritmo de la red principal. No basta con que una página web siga abriéndose para concluir que el servicio funciona con normalidad.
Quienes operen sus propios nodos deben actualizarlos a la versión 3.4.1 o posterior, según las indicaciones oficiales, y comprobar el estado de sincronización. Quienes tengan XRP a través de una billetera o un exchange deben verificar los comunicados del proveedor y el estado de los depósitos y retiros de XRP correspondientes, en lugar de intentar «corregir» por su cuenta los saldos en la cadena.
Durante las próximas 48 horas, estaré atento a cualquier emisión anómala que pueda verificarse o a una interrupción de la red principal, así como a los comunicados de actualización y restablecimiento de los proveedores. Si aparecen pruebas de explotación en la red pública o los nodos actualizados vuelven a sufrir un problema similar, elevaré el nivel de riesgo. Solo reduciré el riesgo operativo en este aspecto cuando pueda verificarse que los servicios correspondientes se han sincronizado y que los fondos vuelven a acreditarse; no basta con que se hayan publicado «parches».
#XRP #资产安全 #Blockchain