Реестр XRP едва не взломали из-за ошибки переполнения целого числа, которая скрывалась 10 лет. Уязвимость находилась в платёжном движке: достаточно было создать платёж, поглощающий множество ордеров, чтобы сумма переполнилась. Продавцы получали полную оплату, а у покупателя почти ничего не списывалось — так можно было создавать XRP, пригодные для трат, буквально из воздуха.

22 сентября об уязвимости сообщили через программу вознаграждения за найденные ошибки, а 25 сентября выпустили xrpld 3.4.1 с исправлением. По официальным данным, признаков эксплуатации не обнаружили, а объём предложения XRP не пострадал.

Настоящие споры вызвал способ исправления: на этот раз обошлись без обычного голосования по поправке (по стандартной процедуре нужно, чтобы более 80% доверенных валидаторов поддерживали её 14 дней подряд). Уже в день выхода обновления его установили более 80% валидаторов, а исходный код опубликовали лишь позже.

Моё мнение: исправить уязвимость было правильно, но прецедент «сначала бинарный файл, потом исходный код», обходящий консенсус, создаёт долгосрочный риск для управления $XRP .

Станете ли вы теперь меньше доверять $XRP или считаете, что «главное — потушить пожар, не стоит придираться»?

#ИсправленаУязвимостьРеестраXRPПозволявшаяВыпускатьНовыеXRP