XRP Ledgerの開発者らは、ネットワークの固定供給量を超えるXRPを生成できてしまうバグを修正するために適用された緊急セキュリティパッチを擁護した。脆弱性を攻撃者に知られる危険を冒さずに、ネットワークで通常行われる2週間のバリデーター投票を待つことはできなかったとしている。

9月25日に公開されたこの修正は、バグ報奨金プログラムへの報告から3日後のことで、インストールしたサーバーでは直ちに有効になった。システム導入から10年以上が経つなか、通常の改正手続きを意図的に回避したのは初めてだったと、彼らは述べた。

「通常の改正投票を行っていれば、修正が発効する何週間も前から公開されていたことになり、ネットワークのセキュリティが危険にさらされていただろう」とXRPLの開発者は日曜日、Xへの投稿で述べた。

迅速な修正を受け、XRPLの分散化の度合いに疑問が呈された。XRPLはウェブサイト上で、自らを完全に分散化されたパブリックブロックチェーンと説明している。この説明は、ネイティブトークンであるXRPが有価証券ではないという主張の根拠となってきた。

XRPLのセキュリティ修正は「多くの疑問を呼んだ」

Cyber Capitalの創設者ジャスティン・ボンズ氏は木曜日、XRPを分散型として個人投資家に宣伝することは「明白な詐欺に当たる」と述べた。同氏は、9月25日に緊急リリースがバイナリ形式のみで公開され、ソースコードが一時的に非公開にされ、運営者がアップグレードを迫られたと主張した。

しかし、XRPL財団によると、通常の改正手続きを省略する決定は、バグの深刻さを評価したうえで、財団、RippleX、コア開発者、バリデーターが共同で下した。

「この判断を単独で下せる当事者はいなかった。各バリデーターとノード運営者は実行するソフトウェアを自ら選択しており、3.4.1が必須となったのは、バリデーターの80％を超える支持を2週間得た、通常の改正投票を通じてのみだ。プロトコルの変更は今も改正手続きを経る」と財団は述べた。

独立系バリデーター運営者のXRP Kuwaitも、アップグレードの連携が中央集権的な支配を示すという主張を否定した。

「運営者がアップデートについて連携すること自体が、中央集権的な支配の証拠だという主張には同意できない」と同氏は述べた。「連携と支配は同じではない。独立した運営者は、独立性を放棄することなく状況を評価し、互いに連絡を取り、同じ結論に達することができる。」

バグによりXRPを無制限に生成できた可能性

プロジェクトの脆弱性開示報告書によると、このバグはXRP Ledgerの決済エンジンにおける整数オーバーフローで、2015年から存在していた。

XRPの残高は、固定の最大値を持つ64ビット整数で保存されている。合計がその最大値を超えると、計算は失敗せず、小さな数値に折り返されてしまった。

攻撃者は、非常に大量のXRPを要求する特別価格のオファーを何百件も作成し、それらすべてを消費する1件の支払いを送ることで、これを悪用できた可能性がある。

このエンジンは各オファーの所有者に全額を付与する一方で、買い手には桁あふれによって極めて小さくなった合計額しか請求しない仕組みだった。その差額は、新たに生成され、使用可能なXRPとなる。

報告書によると、この攻撃には意図的に作成されたオファーが必要で、通常の取引活動では発動できなかった。開発者は、いかなるパブリックネットワークでもこの問題が悪用された証拠は見つかっていないと述べた。

マガジン：Ledgerへの攻撃がEUに拡大、AIが「18兆XRP」のバグを発見：Hodler’s Digest