RippleXとXRP Ledger Foundationは、悪用されれば無制限の量の資産を発行できてしまう重大なセキュリティバグを修正しました。しかし、この修正をめぐって、セキュリティやネットワークの中央集権化などに関する疑問がコミュニティから上がっています。

批判のなか、Rippleが緊急アップグレードを支持

チームは、脆弱性が公開ブロックチェーン上で悪用されることなく修正されたと発表しました。この脆弱性は、悪意ある攻撃者がXRPを追加発行し、固定供給量を損なうことを可能にする重大な整数オーバーフローのバグに起因しています。

残高は64ビット整数として保存され、合計値が上限を超えると、エラーになるのではなく小さな数値に戻ってしまいます。その結果、攻撃者が大量の資産を購入する取引を開始し、支払いを1回だけ行うという問題が発生します。所有者には全額が届く一方、攻撃者への請求は1回分だけとなり、その過程で新しいトークンが生成されてしまいます。

開発者によると、この問題は2015年にさかのぼり、Sherlock Attackathonで「Finding F48」として初めて報告され、深刻度は「低」と評価されました。最近のバグ報奨金プログラムを通じて報告され、修正されており、バリデーターの約80％がアップグレードしました。

「影響評価の過程で、RippleXのMayukha Vadari氏は、この不一致によってサーバーバージョン間にコンセンサス上のリスクも生じることを発見しました。受け入れられるラッパーのセットが、各バージョンで定義されているフィールドに依存していたためです。これにより深刻度は「低」から、アクティベーション前に解決すべき阻害要因へと引き上げられました。」

複数の資産を不正に発行できる攻撃を修正によって防げるようになったにもかかわらず、批判者らは、この一件によってXRPが主張するほど分散化されていないことが証明されたと述べました。Cyber Capitalの創設者Justin Bons氏は、XRPを分散型だと宣伝するのは、まぎれもない詐欺だと語りました。

これまでにもRippleは中央集権化への懸念から批判を浴びてきましたが、そうした申し立てを一貫して否定しています。チームの説明によると、通常の手続きを踏めば2週間かかっており、これは10年以上前に改正手続きが導入されて以来、意図的にそれを迂回した初めての事例でした。

複数の運営者が強調したように、RippleXのコア開発者たちも通常の手続きを省略する決定を支持しており、特定の一者だけが決めたわけではないと彼らは主張しました。さらに、この決定はバリデーターの80％を超える支持を得ていました。

独立系バリデーターのXRP KuwaitはXへの声明で、特定の状況における調整と支配の違いを明確にするこの措置を支持しました。同様に、遅延の危険性を理由に、ほかのユーザーもアップグレードを支持しました。一方、コミュニティ内からは、世論を悪化させかねないハッキングを防ぐため、より広範なバグ報奨金プログラムを求める声も上がりました。