Para pengembang XRP Ledger membela patch keamanan darurat yang digunakan untuk memperbaiki bug yang dapat membuat XRP melebihi batas pasokan tetap jaringan tersebut. Mereka mengatakan tidak bisa menunggu pemungutan suara validator yang biasanya berlangsung selama dua minggu tanpa membuat celah itu terekspos kepada para penyerang.

Perbaikan tersebut dirilis pada 25 September, tiga hari setelah laporan bug bounty, dan langsung berlaku di setiap server yang memasangnya. Mereka mengatakan, ini merupakan upaya pertama yang disengaja untuk melewati proses amendemen normal sejak sistem tersebut diperkenalkan lebih dari sepuluh tahun lalu.

“Jika menggunakan pemungutan suara amendemen normal, perbaikan ini akan diketahui publik selama berminggu-minggu sebelum diberlakukan, sehingga membahayakan keamanan jaringan,” kata para pengembang XRPL dalam unggahan di X pada Minggu.

Perbaikan yang dipercepat ini memunculkan pertanyaan tentang tingkat desentralisasi XRPL. Di situs webnya, XRPL mengklaim bahwa jaringannya adalah blockchain publik yang sepenuhnya terdesentralisasi—karakterisasi yang menjadi inti argumen bahwa token aslinya, XRP, bukanlah sekuritas.

Perbaikan keamanan XRPL “menimbulkan banyak pertanyaan”

Pendiri Cyber Capital, Justin Bons, mengatakan pada Kamis bahwa memasarkan XRP kepada investor ritel sebagai aset terdesentralisasi sama saja dengan “penipuan terang-terangan.” Ia berpendapat bahwa rilis darurat pada 25 September hanya didistribusikan dalam bentuk binari, sumber kodenya ditahan sementara, dan operator ditekan untuk melakukan peningkatan.

Namun, XRPL Foundation mengatakan keputusan untuk melewati proses amendemen yang normal dibuat bersama oleh Foundation, RippleX, pengembang inti, dan para validator setelah menilai tingkat keparahan bug tersebut.

“Tidak ada satu pihak pun yang dapat mengambil keputusan itu sendiri. Setiap validator dan operator node memilih perangkat lunak yang akan dijalankan, dan versi 3.4.1 baru menjadi wajib melalui pemungutan suara amendemen yang normal, dengan dukungan lebih dari 80% validator selama dua minggu. Perubahan protokol tetap dilakukan melalui amendemen,” kata yayasan tersebut.

XRP Kuwait, operator validator independen, juga menolak klaim bahwa peningkatan terkoordinasi menandakan adanya kendali terpusat.

“Kami tidak sepakat dengan klaim bahwa operator yang berkoordinasi untuk melakukan pembaruan dengan sendirinya membuktikan adanya kendali terpusat,” katanya. “Koordinasi tidak sama dengan kendali. Operator independen dapat menilai situasi, berkomunikasi satu sama lain, dan mencapai kesimpulan yang sama tanpa melepaskan independensi mereka.”

Bug dapat mencetak XRP tanpa batas

Menurut laporan pengungkapan kerentanan proyek tersebut, bug itu merupakan luapan bilangan bulat pada mesin pembayaran XRP Ledger yang sudah ada sejak 2015.

Saldo XRP disimpan sebagai bilangan bulat 64-bit dengan nilai maksimum tetap. Ketika jumlahnya melebihi batas maksimum tersebut, perhitungannya melingkar kembali ke angka yang lebih kecil, bukannya gagal.

Penyerang dapat mengeksploitasi celah ini dengan membuat ratusan penawaran dengan harga khusus, yang masing-masing meminta XRP dalam jumlah sangat besar, lalu mengirim satu pembayaran yang menggunakan semuanya.

Mesin tersebut akan mengkreditkan jumlah penuh kepada pemilik setiap penawaran, tetapi hanya membebankan jumlah terbungkus yang sangat kecil kepada pembeli. Selisihnya akan menjadi XRP baru yang dapat dibelanjakan.

Menurut laporan tersebut, serangan itu membutuhkan penawaran yang sengaja dirancang dan tidak dapat dipicu oleh aktivitas perdagangan normal. Para pengembang mengatakan mereka tidak menemukan bukti bahwa masalah tersebut dieksploitasi di jaringan publik mana pun.

Majalah: Serangan terhadap Ledger meluas ke UE, AI menemukan bug ‘18 triliun XRP’: Hodler’s Digest