Разработчики XRP Ledger (XRPL) защищают экстренный патч безопасности, развернутый для устранения уязвимости, которая позволяла создавать XRP сверх фиксированного объема сети, утверждая, что они не могли ждать привычного двухнедельного голосования валидаторов, не раскрыв flaw потенциальным злоумышленникам.

В отличие от сетей, которые со временем эмитируют новые монеты, XRP Ledger был запущен с уже существующим полным объемом в 100 млрд XRP — именно поэтому кодовый путь, способный выпускать дополнительные токены, затрагивал фундаментальное свойство актива.

Патч был выпущен 25 сентября, через три дня после отчета в рамках программы баг-баунти, и вступал в силу немедленно на любом сервере, где он был установлен. По словам разработчиков, это стало первым намеренным обходом стандартной процедуры внесения поправок в сети с момента ее внедрения более десяти лет назад. По этой процедуре изменения протокола выпускаются как поправки и активируются только после того, как более 80% валидаторов поддержат их в течение двух недель подряд — тот же порог Фонд XRPL впоследствии упомянул, защищая обязательный переход на версию 3.4.1.

«При обычном голосовании по поправке исправление было бы публичным в течение недель до вступления в силу, что ставило бы под угрозу безопасность сети», — заявили разработчики XRPL в посте в X в воскресенье.

Ускоренное исправление вызвало вопросы о степени децентрализации XRP Ledger. На своем сайте XRPL описывает себя как полностью децентрализованный публичный блокчейн — эта характеристика лежит в основе аргументов о том, что его нативный токен XRP не следует классифицировать как ценную бумагу. Эти аргументы имеют регуляторное значение: в декабре 2020 года Комиссия по ценным бумагам и биржам США подала в суд на Ripple, обвинив ее в незарегистрированных предложениях ценных бумаг XRP, и степень децентрализации XRP неоднократно становилась предметом споров в этом деле.

Исправление системы безопасности «подняло много вопросов»

Джастин Бонс, основатель Cyber Capital, заявил в четверг, что продвижение XRP среди розничных инвесторов как децентрализованного актива равнозначно «прямому мошенничеству». Он утверждал, что экстренный релиз 25 сентября распространялся только в виде бинарных файлов, исходный код временно не публиковался, а операторов подталкивали к обновлению.

Однако Фонд XRPL заявил, что решение пропустить стандартную процедуру внесения поправок было принято совместно Фондом, RippleX, основными разработчиками и валидаторами после оценки серьезности уязвимости.

«Ни одна сторона не могла принять такое решение в одиночку. Каждый валидатор и оператор узла сам выбирает, какое программное обеспечение использовать, а версия 34.1 стала обязательной только через обычное голосование по поправке с поддержкой более 80% валидаторов в течение двух недель. Изменения протокола по-прежнему проходят через поправки», — сообщил фонд.

XRP Kuwait, независимый оператор валидатора, также отверг утверждения о том, что скоординированные обновления свидетельствуют о централизованном контроле.

«Мы не согласны с утверждением, что координация обновления операторами сама по себе является доказательством централизованного контроля», — говорится в посте в X. «Координация — это не то же самое, что контроль. Независимые операторы могут оценить ситуацию, общаться друг с другом и прийти к одному выводу, не отказываясь от своей независимости».

Баг мог позволить выпустить неограниченное количество XRP

Согласно отчету проекта о раскрытии уязвимостей, баг представлял собой целочисленное переполнение в платежном движке XRP Ledger, присутствовавшее с 2015 года.

Балансы XRP хранятся как 64-битные целые числа с фиксированным максимумом. Когда сумма превышала этот максимум, вычисление не завершалось ошибкой, а «заворачивалось» до меньшего числа.

Злоумышленник мог воспользоваться этим, создав сотни специальным образом оцененных офферов, каждый из которых запрашивал очень большую сумму XRP, а затем отправив один платеж, который поглощал их все. Движок зачислял бы каждому владельцу оффера полную сумму, но списывал бы с покупателя лишь крошечную «завернутую» итоговую сумму — а разница превращалась бы в новосозданный XRP, доступный для расходования.

Согласно отчету, атака требовала намеренно сконструированных офферов и не могла быть вызвана обычной торговой активностью. Разработчики заявили, что не нашли следов эксплуатации уязвимости ни в одной публичной сети.

Вопрос о том, как уязвимость в одном из ключевых компонентов реестра оставалась необнаруженной около десятилетия, остается открытым в развернувшейся после раскрытия информации дискуссии.