Các nhà phát triển XRP Ledger đã bảo vệ bản vá bảo mật khẩn cấp được dùng để sửa một lỗi có khả năng tạo ra lượng XRP vượt quá nguồn cung cố định của mạng lưới, đồng thời cho biết họ không thể chờ cuộc bỏ phiếu của các trình xác thực thường kéo dài hai tuần của mạng lưới vì làm vậy sẽ khiến lỗ hổng bị kẻ tấn công phát hiện.

Bản sửa lỗi được phát hành vào ngày 25 tháng 9, ba ngày sau khi có báo cáo về lỗi bảo mật để nhận tiền thưởng, và có hiệu lực ngay lập tức trên mọi máy chủ cài đặt bản sửa. Họ cho biết đây là lần đầu tiên quy trình sửa đổi thông thường bị cố tình bỏ qua kể từ khi hệ thống được ra mắt hơn mười năm trước.

“Nếu dùng quy trình bỏ phiếu sửa đổi thông thường, bản vá sẽ được công khai trong nhiều tuần trước khi có hiệu lực, gây rủi ro cho an ninh mạng lưới,” các nhà phát triển XRPL viết trong bài đăng trên X hôm Chủ nhật.

Bản vá khẩn cấp khiến nhiều người đặt câu hỏi về mức độ phi tập trung của XRPL. Trên trang web, XRPL tự nhận là một blockchain công khai, phi tập trung hoàn toàn — đặc điểm này giữ vai trò then chốt trong các lập luận cho rằng token gốc XRP không phải là chứng khoán.

Bản vá bảo mật của XRPL “làm dấy lên rất nhiều câu hỏi”

Hôm thứ Năm, nhà sáng lập Cyber Capital Justin Bons nói rằng việc tiếp thị XRP cho nhà đầu tư cá nhân như một tài sản phi tập trung là hành vi “gian lận trắng trợn”. Ông lập luận rằng bản phát hành khẩn cấp ngày 25 tháng 9 chỉ được cung cấp dưới dạng tệp nhị phân, tạm thời không công bố mã nguồn và gây áp lực buộc các đơn vị vận hành nâng cấp.

Tuy nhiên, XRPL Foundation cho biết quyết định bỏ qua quy trình sửa đổi thông thường được đưa ra chung bởi Foundation, RippleX, các nhà phát triển cốt lõi và người xác thực sau khi đánh giá mức độ nghiêm trọng của lỗi.

“Không một bên nào có thể tự mình đưa ra quyết định đó. Mỗi người xác thực và đơn vị vận hành nút đều tự chọn phần mềm để chạy, và phiên bản 3.4.1 chỉ trở thành yêu cầu bắt buộc sau một cuộc bỏ phiếu sửa đổi thông thường, trong đó hơn 80% người xác thực ủng hộ suốt hai tuần. Các thay đổi giao thức vẫn phải thông qua quy trình sửa đổi,” tổ chức này cho biết.

XRP Kuwait, một đơn vị vận hành người xác thực độc lập, cũng bác bỏ nhận định rằng việc phối hợp nâng cấp cho thấy có sự kiểm soát tập trung.

“Chúng tôi không đồng tình với nhận định rằng việc các đơn vị vận hành phối hợp cập nhật phần mềm tự thân đã chứng minh có sự kiểm soát tập trung,” tổ chức này cho biết. “Phối hợp không đồng nghĩa với kiểm soát. Các đơn vị vận hành độc lập có thể đánh giá tình hình, trao đổi với nhau và đi đến cùng một kết luận mà không từ bỏ tính độc lập.”

Lỗi có thể tạo ra lượng XRP không giới hạn

Theo báo cáo công bố lỗ hổng của dự án, lỗi này là lỗi tràn số nguyên trong công cụ xử lý thanh toán của XRP Ledger và đã tồn tại từ năm 2015.

Số dư XRP được lưu dưới dạng số nguyên 64 bit với giá trị tối đa cố định. Khi tổng vượt quá giới hạn này, phép tính sẽ quay vòng thành một số nhỏ hơn thay vì báo lỗi.

Kẻ tấn công có thể lợi dụng lỗi này bằng cách tạo hàng trăm lệnh chào bán với mức giá được thiết lập đặc biệt, mỗi lệnh yêu cầu một lượng XRP rất lớn, rồi gửi một khoản thanh toán duy nhất để khớp tất cả các lệnh đó.

Hệ thống sẽ ghi có toàn bộ số tiền cho chủ sở hữu mỗi lệnh chào bán, nhưng chỉ tính cho người mua tổng số tiền rất nhỏ sau khi bị tràn số. Phần chênh lệch sẽ là XRP mới được tạo ra và có thể sử dụng.

Theo báo cáo, cuộc tấn công đòi hỏi các lệnh chào bán được tạo có chủ đích và không thể bị kích hoạt bởi hoạt động giao dịch thông thường. Các nhà phát triển cho biết họ không tìm thấy bằng chứng cho thấy lỗi này đã bị khai thác trên bất kỳ mạng công khai nào.

Tạp chí: Vụ tấn công Ledger lan sang EU, AI phát hiện lỗi ‘18 nghìn tỷ XRP’: Điểm tin Hodler