Bug XRP Ledger bisa saja merusak batas pasokan 100 miliar token

Laporan keamanan yang diterbitkan pada Jumat mengatakan celah pada perangkat lunak pembayaran XRP Ledger bisa memungkinkan penyerang membuat XRP yang dapat dibelanjakan. Pasokan XRP dibatasi hingga 100 miliar token. Bug tersebut kemungkinan tidak terdeteksi sejak 2015. Nilai XRP sekitar 88,8 miliar dolar AS dengan harga token 1,41 dolar AS. RippleX, divisi pengembang Ripple, mengatakan tidak menemukan tanda-tanda bahwa ada pihak yang menggunakan celah itu.

XRP Ledger memiliki marketplace bawaan tempat akun menawarkan pertukaran satu token dengan token lain. Menurut laporan keamanan tersebut, penyerang dapat membuka beberapa ratus akun yang menawarkan sejumlah kecil token dengan imbalan XRP dalam jumlah sangat besar. Satu pembayaran kemudian dapat membeli semua penawaran sekaligus. Total berjalan pada perangkat lunak pembayaran akan melampaui batas penghitung dan kembali ke angka yang sangat kecil. Akun-akun penjual akan menerima pembayaran penuh, sementara pembeli membayar hampir tidak ada. Pemeriksaan keamanan yang dimaksudkan untuk mendeteksi XRP yang baru dibuat menggunakan penghitung yang sama dan juga akan gagal melihat selisih tersebut. Peneliti Cayden Liao dan Veria AI melaporkan celah itu melalui program bug bounty XRPL pada 22 September.

Perubahan aturan di XRP Ledger biasanya memerlukan dukungan lebih dari 80% validator tepercaya selama dua minggu. Validator tepercaya adalah server yang mengonfirmasi transaksi. Perbaikan itu dirilis dalam perangkat lunak server versi 3.4.1 pada 25 September dan mulai berlaku segera setelah setiap operator melakukan peningkatan. RippleX mengatakan ini adalah perubahan yang disengaja pertama terhadap pemrosesan transaksi yang dirilis dengan cara tersebut sejak sistem amendemen dimulai lebih dari sepuluh tahun lalu. RippleX mengatakan pemungutan suara publik akan membuat bug itu terekspos dalam kode terbuka selama berminggu-minggu saat celah tersebut masih dapat dieksploitasi. Lebih dari 80% validator bawaan melakukan peningkatan pada hari perilisan, sebelum kode perbaikan dipublikasikan. Laporan keamanan itu mengatakan XRPL Foundation, RippleX, dan para validator mengambil keputusan tersebut bersama-sama. RippleX mengatakan pemungutan suara tetap menjadi aturan untuk perubahan mendatang.

Pengungkapan tersebut muncul sehari setelah pendiri Cyber Capital Justin Bons menyebut penjualan XRP dengan klaim bahwa aset itu terdesentralisasi sebagai “penipuan” dalam debat tentang desentralisasi dengan David Schwartz dari Ripple.