RippleX y la Fundación del XRP Ledger corrigieron un importante fallo de seguridad que, de haber sido explotado, podría haber impreso una cantidad ilimitada de activos. Sin embargo, la corrección ha suscitado preguntas en la comunidad sobre seguridad, centralización de la red y más.
Ripple respalda una actualización de emergencia ante las críticas
El equipo reveló la vulnerabilidad corregida en la red sin que hubiera sido explotada en una cadena de bloques pública. Se remonta a un error crítico de desbordamiento de enteros que permite a actores malintencionados crear más XRP, rompiendo su oferta fija.
Los saldos se almacenan como enteros de 64 bits, y cuando una suma se excede, se desborda a un número menor en lugar de fallar. Esto crea un problema en el que el atacante inicia una compra de grandes activos y solo realiza un único pago. Los propietarios reciben el monto completo, pero al atacante solo se le cobra una vez, creando nuevos tokens en el proceso.
Según los desarrolladores, el problema se remonta a 2015, se informó por primera vez como el hallazgo F48 en el Sherlock Attackathon y se clasificó como de gravedad baja. Se notificó a través de un programa reciente de recompensas por errores y se corrigió; cerca del 80 % de los validadores actualizaron sus sistemas.
«Durante la evaluación del impacto, Mayukha Vadari (RippleX) descubrió que la brecha también generaba un riesgo de consenso entre las versiones del servidor, porque el conjunto de envoltorios aceptados dependía de los campos que definía cada versión. Esto elevó la gravedad de baja a un impedimento previo a la activación.»
Aunque la corrección impide ataques que podrían haber generado varios activos, los críticos afirmaron que el proceso demuestra que XRP no está tan descentralizado como asegura. Justin Bons, fundador de Cyber Capital, dijo que promocionar XRP como descentralizado es, sencillamente, un fraude.
Anteriormente, Ripple también ha sido objeto de críticas por motivos de centralización, aunque rechaza sistemáticamente todas las acusaciones. El equipo explicó que un proceso normal habría tardado dos semanas y que esta fue la primera vez que se eludió deliberadamente un proceso de enmienda desde su introducción, hace más de diez años.
Argumentaron que RippleX, los desarrolladores principales, respaldó la decisión de omitir los procesos habituales, y que no fue una decisión unilateral. Además, recibió el apoyo de más del 80 % de los validadores, como destacaron varios operadores.
El validador independiente XRP Kuwait respaldó la medida en un comunicado en X y distinguió entre coordinación y control en determinadas situaciones. De manera similar, otros usuarios apoyaron la actualización debido al peligro que supondría una demora. Mientras tanto, otros miembros de la comunidad pidieron programas de recompensas por errores más amplios para prevenir un hackeo que podría afectar el sentimiento del mercado.