XRP Ledger(XRPL)の公式ドキュメントは、fixCleanup3_4_0と呼ばれる修正案がネットワーク上で有効化されるまで、PaymentBurn権限を委譲しないようアカウント保有者に推奨している。この警告の中心は、トークンのバーンとミントの境界にある不具合であり、特定の状況下でバーン専用のデリゲートがトークンを破棄する代わりに新しいトークンを発行できるというものだった。この不具合で新たなXRP自体を作成することはできないが、権限委譲がオフライン鍵の背後に置くよう設計された唯一のタスクに影響を及ぼす。

バーン専用デリゲートが意図していた役割とは

権限委譲(Permission delegation)により、アカウントは特定の作業を別の第二アカウントに委ねることができ、そのアカウントは自身の鍵で署名する。XRPLのドキュメントはその目的を明確にしている:日常業務はオンラインで保管される鍵で実行し、完全な管理権を持つ鍵はトークン発行などの特別なタスクのためにオフラインに保管しておく。CoindooのXRPLデリゲートアカウント管理ガイドでは、機関がこれらの役割をどのように分割できるかを解説している。

台帳の12の細分化された権限のうち2つはトークン供給に関わる。PaymentMintは代替可能トークンまたはマルチパーパストークン(MPT)を作成する支払いをカバーする。PaymentBurnはトークンを破棄する支払いをカバーし、ドキュメントはその境界を明確に定めている:バーンは残高ゼロで停止する。

不具合はまさにその境界にあった。修正前は、PaymentBurnの下で送られた支払いが、特定の状況でゼロを超えてしまい、新しいトラストライントークンやMPTを発行する可能性があった。fixCleanup3_4_0は、同じデリゲートがPaymentMintも保持していない限り、金額がミントに踏み込むことになるバーン専用の委譲支払いを拒否する。その他の11の細分化された権限は影響を受けない。

これにより、この不具合は影響範囲が狭い一方で、触及する対象が厄介なものとなっている。利用できるのは、発行者がすでにデリゲートとして選択したアカウントのみだが、そこで解禁されるのはトークン発行——委譲がオフライン鍵の背後に置くよう意図していたまさにそのタスクである。

コールドストレージはデリゲートの鍵をカバーしない

委譲されたトランザクションは、デリゲート自身のマスターキー、レギュラーキー、またはマルチ署名リストで署名される。発行者は主要な認証情報を完全にオフラインに保っていても、PaymentBurnを保持するデリゲートが侵害、誤設定、または権限範囲外の行動を取った場合には危険にさらされうる。

法定通貨担保トークンにとって、経済的リスクは準備金と一致しない流通単位の存在である。準備金証明は特定の報告日における未払いトークンに対して保有される資産を示すものであり、報告の間にどのアカウントがその数を変更できるかについては何も語らない——そしてこれこそがこの不具合によって弱まる管理である。

委譲機能は修正が投票を確保する前にローンチされた

これはXRPLの委譲機能で見つかった2つ目の不具合である。当初のバージョンは2025年、コミュニティテスターがdevnet上で署名していないアカウントにトランザクション手数料を課せることを発見した後に撤回され、公式開示ではメインネットに到達しなかったことが確認されている。その後継であるPermissionDelegationV1_1は10月8日に有効化された。XRPLの修正案ダッシュボードによると、この時点でPaymentBurnの修正はまだバリデータの支持を集めている最中だった。

したがって、曝露はアカウントごとである:ローンチ以降にPaymentBurnを付与した発行者のみが影響を受ける。すべての付与は公開されている。なぜならDelegate台帳エントリには付与するアカウント、デリゲート、その権限リストが記録されるからだ。執筆時点では、XRPLのドキュメントや公開報道のいずれも、影響を受けた発行者や悪用を特定していない。

供給量の増加だけでは何も証明されない。発行者がPaymentMintを意図的に付与していた可能性があるからだ。説明が必要となるのは、PaymentBurnのみを保持するデリゲートの支払いによってトークンが追加された場合である。

水曜日までに発行者が確認できること

XRPLの公式な助言は、修正が有効化されるまでPaymentBurnを委譲しないことだ。すでに付与している発行者は、以下の順序で作業を進める:

1. 発行アカウント上のすべてのDelegateエントリを取得し、PaymentBurnを含む権限リストにフラグを立てる。
2. 保持したい権限の完全なリストを添えてDelegateSetを再送信する。新しいリストが古いリストを置き換えるため、含めなかった権限は削除される。
3. 変更が検証済み台帳に現れた時点で初めて、付与は取り消されたものと扱う。
4. デリゲートの過去の支払いは別途監査する。権限の取り消しは今後の使用を止めるが、以前のトランザクションを取り消すものではないためだ。
5. fixCleanup3_4_0がメインネットで有効と表示された後にのみ、PaymentBurnを再度委譲する。

投票がまだ遅れる可能性がある理由

公式の修正案ルールによれば、変更には信頼済みバリデータのスーパー多数派を2週間中断なく維持する必要がある。追跡対象セットの35のバリデータのうち、その閾値は29であり、下回るとタイマーがリセットされる。このリセットはすでに一度発生しており、現在の支持は修正を支持する35の信頼済みバリデータのうち33となっている。

支持が維持されていても、14:46 UTCが2週間の期間が開始する時点となる。有効化は台帳の投票チェックポイントで行われるため、変更が実際に反映されるのはその後しばらく経ってからとなる可能性がある。

バリデータはこの修正だけではなく、はるかに多くの項目についても投票している。fixCleanup3_4_0は、ボールト、レンディング、自動マーケットメーカー、NFT、エスクロー、スポンサーシップにわたる25の変更をまとめており、PaymentBurn修正はそのリストの最後の項目である。これは、独自の修正案がまだ投票中であるレンディングプロトコル自体を有効化することなく、レンディングコードにパッチを当てる。

発行者にとって意味のある確認は、fixCleanup3_4_0がメインネットで有効として記載されることである。それまでの間、PaymentBurnの付与はその名が示す以上の権限を伴う。

本記事はもともとCoindooに掲載されたものです。