Разработчики XRP Ledger защитили экстренное обновление безопасности, выпущенное для устранения ошибки, которая позволяла создавать XRP сверх установленного сетью лимита предложения. Они заявили, что не могли ждать обычного двухнедельного голосования валидаторов сети, не подвергая уязвимость риску раскрытия злоумышленникам.
Исправление, выпущенное 25 сентября, появилось через три дня после сообщения о найденной уязвимости в рамках программы bug bounty и немедленно вступило в силу на всех серверах, где его установили. По их словам, это был первый случай намеренного обхода обычной процедуры внесения изменений с момента запуска системы более десяти лет назад.
«При стандартном голосовании по поправке исправление стало бы публичным за несколько недель до вступления в силу, что поставило бы безопасность сети под угрозу», — заявили разработчики XRPL в публикации на X в воскресенье.
Ускоренное исправление вызвало вопросы об уровне децентрализации XRPL. На своём сайте XRPL заявляет, что это полностью децентрализованный публичный блокчейн, — характеристика, которая лежит в основе аргументов о том, что его нативный токен XRP не является ценной бумагой.
Исправление безопасности XRPL «вызвало множество вопросов»
Основатель Cyber Capital Джастин Бонс заявил в четверг, что продвижение XRP среди розничных инвесторов как децентрализованного актива — это «откровенное мошенничество». Он утверждал, что экстренный релиз от 25 сентября был выпущен только в виде бинарных файлов, исходный код временно не предоставлялся, а операторов вынуждали обновиться.
Однако фонд XRPL заявил, что решение отказаться от стандартной процедуры внесения поправок было принято совместно фондом, RippleX, основными разработчиками и валидаторами после оценки серьёзности ошибки.
«Ни одна сторона не могла принять это решение в одиночку. Каждый валидатор и оператор узла сам выбирает, какое программное обеспечение использовать, а версия 3.4.1 стала обязательной только после стандартного голосования по поправке, которую более 80% валидаторов поддерживали в течение двух недель. Изменения протокола по-прежнему проходят через поправки», — заявили в фонде.
XRP Kuwait, независимый оператор валидатора, также отверг утверждения о том, что скоординированные обновления свидетельствуют о централизованном контроле.
«Мы не согласны с утверждением, что координация обновления операторами сама по себе доказывает наличие централизованного контроля, — говорится в заявлении. — Координация — не то же самое, что контроль. Независимые операторы могут оценить ситуацию, связаться друг с другом и прийти к одному выводу, не отказываясь от своей независимости».
Ошибка могла привести к выпуску неограниченного количества XRP
Согласно отчёту проекта о раскрытии информации об уязвимости, ошибка представляла собой целочисленное переполнение в платёжном движке XRP Ledger, которое существовало с 2015 года.
Балансы XRP хранятся в виде 64-битных целых чисел с фиксированным максимальным значением. Когда сумма превышала этот предел, расчёт переходил к меньшему числу вместо того, чтобы завершиться ошибкой.
Злоумышленник мог воспользоваться этим, создав сотни предложений с особыми ценами, каждое из которых запрашивало бы очень большое количество XRP, а затем отправив один платёж, который использовал бы их все.
Движок зачислял бы владельцу каждого предложения полную сумму, но взимал бы с покупателя лишь крошечную сумму после переполнения. Разница представляла бы собой вновь созданные XRP, которыми можно было бы распоряжаться.
Согласно отчёту, для атаки требовалось намеренно создать специальные предложения, и её нельзя было запустить в ходе обычной торговли. Разработчики заявили, что не нашли свидетельств использования уязвимости ни в одной публичной сети.
Журнал: атака на Ledger распространяется на ЕС, ИИ обнаружил ошибку на „18 триллионов XRP“: дайджест Ходлера