#xrp账本修复可增发xrp的漏洞 $XRP Lần này suýt nữa đã có người in tiền từ hư không, nhưng điều khiến tôi bất ngờ nhất là cách đội ngũ chính thức vá lỗ hổng.
Lỗ hổng này đã nằm trong bộ máy thanh toán của XRP Ledger từ năm 2015. Bằng cách khai thác lỗi tràn số học, về lý thuyết, kẻ tấn công chỉ cần bỏ ra vài trăm XRP làm chi phí chuẩn bị là có thể tạo ra tiền mới từ hư không.
May mắn là sau khi điều tra, đội ngũ chính thức cho biết họ không tìm thấy bằng chứng cho thấy lỗ hổng từng bị khai thác trên mạng công khai.
Nhưng điều thực sự thú vị nằm ở cách họ xử lý sau đó.
Thông thường,
những thay đổi lớn đối với giao thức XRPL phải thông qua cơ chế sửa đổi. Các trình xác thực cần đạt đồng thuận trên 80% và duy trì trong hai tuần thì thay đổi mới có hiệu lực.
Thế nhưng lần này, đội ngũ chính thức chọn cách làm khác: chỉ cần nâng cấp phần mềm nút lên phiên bản 3.4.1 là có thể kích hoạt bản vá.
Theo báo cáo chính thức, đây là lần đầu tiên trong hơn mười năm kể từ khi cơ chế sửa đổi được đưa ra, cách khắc phục khẩn cấp này được áp dụng.
Lý do cũng không khó hiểu.
Một khi lỗ hổng được công khai, tin tặc có thể nghiên cứu cách khai thác nó. Nếu vẫn phải chờ hai tuần để bỏ phiếu, chẳng khác nào để ngỏ khoảng thời gian nguy hiểm đó.
Vì vậy, lần này việc khắc phục được ưu tiên tối đa. Ngay trong ngày phát hành, hơn 80% số nút trong danh sách trình xác thực mặc định đã nâng cấp, dù khi đó mã nguồn bản vá vẫn chưa được công khai.
Đây mới là điều đáng bàn nhất trong toàn bộ câu chuyện.
Ngày thường, mọi người nhấn mạnh tầm quan trọng của tính phi tập trung, minh bạch và quản trị trên chuỗi. Nhưng khi xuất hiện lỗ hổng nghiêm trọng có thể đe dọa nguồn cung của toàn mạng lưới, thì phải lựa chọn giữa bảo mật và quy trình quản trị thông thường.
Người dùng XRP thông thường không cần đổi ví vì lỗ hổng lần này. Còn những ai vận hành nút thì cần đảm bảo phần mềm đã được nâng cấp.
Giới tiền mã hóa ngày nào cũng bàn về tầm quan trọng của tính phi tập trung. Nhưng nếu thật sự gặp phải một lỗ hổng có thể cho phép in tiền từ hư không, bạn sẽ muốn chờ đủ hai tuần để làm đúng quy trình, hay ủng hộ việc vá lỗ hổng ngay trước đã?
$XRP #XRPL
Lỗ hổng này đã nằm trong bộ máy thanh toán của XRP Ledger từ năm 2015. Bằng cách khai thác lỗi tràn số học, về lý thuyết, kẻ tấn công chỉ cần bỏ ra vài trăm XRP làm chi phí chuẩn bị là có thể tạo ra tiền mới từ hư không.
May mắn là sau khi điều tra, đội ngũ chính thức cho biết họ không tìm thấy bằng chứng cho thấy lỗ hổng từng bị khai thác trên mạng công khai.
Nhưng điều thực sự thú vị nằm ở cách họ xử lý sau đó.
Thông thường,
những thay đổi lớn đối với giao thức XRPL phải thông qua cơ chế sửa đổi. Các trình xác thực cần đạt đồng thuận trên 80% và duy trì trong hai tuần thì thay đổi mới có hiệu lực.
Thế nhưng lần này, đội ngũ chính thức chọn cách làm khác: chỉ cần nâng cấp phần mềm nút lên phiên bản 3.4.1 là có thể kích hoạt bản vá.
Theo báo cáo chính thức, đây là lần đầu tiên trong hơn mười năm kể từ khi cơ chế sửa đổi được đưa ra, cách khắc phục khẩn cấp này được áp dụng.
Lý do cũng không khó hiểu.
Một khi lỗ hổng được công khai, tin tặc có thể nghiên cứu cách khai thác nó. Nếu vẫn phải chờ hai tuần để bỏ phiếu, chẳng khác nào để ngỏ khoảng thời gian nguy hiểm đó.
Vì vậy, lần này việc khắc phục được ưu tiên tối đa. Ngay trong ngày phát hành, hơn 80% số nút trong danh sách trình xác thực mặc định đã nâng cấp, dù khi đó mã nguồn bản vá vẫn chưa được công khai.
Đây mới là điều đáng bàn nhất trong toàn bộ câu chuyện.
Ngày thường, mọi người nhấn mạnh tầm quan trọng của tính phi tập trung, minh bạch và quản trị trên chuỗi. Nhưng khi xuất hiện lỗ hổng nghiêm trọng có thể đe dọa nguồn cung của toàn mạng lưới, thì phải lựa chọn giữa bảo mật và quy trình quản trị thông thường.
Người dùng XRP thông thường không cần đổi ví vì lỗ hổng lần này. Còn những ai vận hành nút thì cần đảm bảo phần mềm đã được nâng cấp.
Giới tiền mã hóa ngày nào cũng bàn về tầm quan trọng của tính phi tập trung. Nhưng nếu thật sự gặp phải một lỗ hổng có thể cho phép in tiền từ hư không, bạn sẽ muốn chờ đủ hai tuần để làm đúng quy trình, hay ủng hộ việc vá lỗ hổng ngay trước đã?
$XRP #XRPL