Uma vulnerabilidade do XRP podia «criar» tokens do nada: já foi corrigida. O que os detentores devem verificar?
O que deve ser verificado desta vez é a atualização dos nós e o estado dos depósitos e levantamentos nas plataformas utilizadas, e não interpretar a divulgação da vulnerabilidade como prova de que uma grande quantidade de XRP já foi criada. A equipa oficial já disponibilizou uma versão corrigida e afirma não ter encontrado provas de exploração na rede pública; isso não é uma garantia de segurança absoluta no futuro.
A 9 de outubro, a XRPL divulgou os detalhes de uma vulnerabilidade no mecanismo de pagamentos. O patch xrpld 3.4.1 já tinha sido disponibilizado no final de setembro, pelo que se trata da divulgação de uma vulnerabilidade já corrigida, e não de um incidente de criação repentina de tokens nesse dia.
O problema estava nos cálculos efetuados pelo servidor: uma transação especialmente concebida podia provocar um overflow no valor agregado, fazendo com que o destinatário recebesse mais e o remetente pagasse menos. A verificação existente da oferta total recorria a um algoritmo semelhante; por isso, a afirmação de que a «oferta total é fixa» não substitui uma implementação correta.
Mas não se devem confundir as duas correções. A vulnerabilidade de criação de tokens foi corrigida assim que os nós foram atualizados; as regras de correção de outra vulnerabilidade, relacionada com o processamento em lote (Batch), só foram ativadas a 9 de outubro. Atualmente, os nós com versões antigas são bloqueados pelas novas regras e não conseguem acompanhar a rede principal. Não basta verificar se o site ainda abre para concluir que o serviço está a funcionar normalmente.
Quem opera o seu próprio nó deve atualizá-lo para a versão 3.4.1 ou posterior, conforme solicitado oficialmente, e verificar o estado da sincronização. Quem detém XRP através de uma carteira ou de uma corretora deve verificar sobretudo os comunicados do prestador de serviços e o estado dos depósitos e levantamentos de XRP correspondentes, em vez de tentar «corrigir» por conta própria o saldo na cadeia.
Nas próximas 48 horas, vou acompanhar a existência de provas verificáveis de criação anómala de tokens ou de uma interrupção da rede principal, bem como os comunicados dos prestadores de serviços sobre atualizações e restabelecimento. Se surgirem provas de exploração na rede pública, ou se o mesmo problema ocorrer em nós já atualizados, aumentarei o nível de risco. Só reduzirei o risco operacional desta via quando for possível confirmar a sincronização do serviço correspondente e o restabelecimento dos créditos; não basta dizer que «o patch foi disponibilizado».
#XRP #资产安全 #区块链
O que deve ser verificado desta vez é a atualização dos nós e o estado dos depósitos e levantamentos nas plataformas utilizadas, e não interpretar a divulgação da vulnerabilidade como prova de que uma grande quantidade de XRP já foi criada. A equipa oficial já disponibilizou uma versão corrigida e afirma não ter encontrado provas de exploração na rede pública; isso não é uma garantia de segurança absoluta no futuro.
A 9 de outubro, a XRPL divulgou os detalhes de uma vulnerabilidade no mecanismo de pagamentos. O patch xrpld 3.4.1 já tinha sido disponibilizado no final de setembro, pelo que se trata da divulgação de uma vulnerabilidade já corrigida, e não de um incidente de criação repentina de tokens nesse dia.
O problema estava nos cálculos efetuados pelo servidor: uma transação especialmente concebida podia provocar um overflow no valor agregado, fazendo com que o destinatário recebesse mais e o remetente pagasse menos. A verificação existente da oferta total recorria a um algoritmo semelhante; por isso, a afirmação de que a «oferta total é fixa» não substitui uma implementação correta.
Mas não se devem confundir as duas correções. A vulnerabilidade de criação de tokens foi corrigida assim que os nós foram atualizados; as regras de correção de outra vulnerabilidade, relacionada com o processamento em lote (Batch), só foram ativadas a 9 de outubro. Atualmente, os nós com versões antigas são bloqueados pelas novas regras e não conseguem acompanhar a rede principal. Não basta verificar se o site ainda abre para concluir que o serviço está a funcionar normalmente.
Quem opera o seu próprio nó deve atualizá-lo para a versão 3.4.1 ou posterior, conforme solicitado oficialmente, e verificar o estado da sincronização. Quem detém XRP através de uma carteira ou de uma corretora deve verificar sobretudo os comunicados do prestador de serviços e o estado dos depósitos e levantamentos de XRP correspondentes, em vez de tentar «corrigir» por conta própria o saldo na cadeia.
Nas próximas 48 horas, vou acompanhar a existência de provas verificáveis de criação anómala de tokens ou de uma interrupção da rede principal, bem como os comunicados dos prestadores de serviços sobre atualizações e restabelecimento. Se surgirem provas de exploração na rede pública, ou se o mesmo problema ocorrer em nós já atualizados, aumentarei o nível de risco. Só reduzirei o risco operacional desta via quando for possível confirmar a sincronização do serviço correspondente e o restabelecimento dos créditos; não basta dizer que «o patch foi disponibilizado».
#XRP #资产安全 #区块链