Yayasan XRP Ledger membela patch darurat dari klaim pemaksaan peningkatan versi

Yayasan XRP Ledger menolak klaim bahwa patch keamanan darurat dipaksakan kepada operator jaringan. Patch tersebut memperbaiki bug yang dapat menciptakan XRP melebihi pasokan tetap jaringan. Perbaikan dirilis pada 25 September, tiga hari setelah laporan bug bounty. Perbaikan itu langsung berlaku pada setiap server yang memasangnya.

Pengembang XRP Ledger mengatakan perilisan tersebut merupakan pertama kalinya proses amendemen normal sengaja dilewati sejak sistem itu diperkenalkan lebih dari 10 tahun lalu. Pengembang mengatakan mereka tidak dapat menunggu pemungutan suara validator yang biasanya berlangsung dua minggu tanpa membuat celah itu diketahui penyerang. Pada Minggu, pengembang mengatakan pemungutan suara amendemen normal akan membuat perbaikan itu terbuka untuk umum selama berminggu-minggu sebelum diterapkan, sehingga keamanan jaringan berisiko.

Perbaikan yang dipercepat itu memicu pertanyaan tentang tingkat desentralisasi XRP Ledger. XRP Ledger menyebut jaringan tersebut di situs webnya sebagai blockchain publik yang sepenuhnya terdesentralisasi. Karakterisasi itu menjadi dasar argumen bahwa token aslinya, XRP, bukan sekuritas.

Pendiri Cyber Capital Justin Bons pada Kamis mengatakan bahwa memasarkan XRP kepada investor ritel sebagai aset terdesentralisasi sama dengan “penipuan terang-terangan”. Bons berpendapat bahwa perilisan darurat pada 25 September hanya menyediakan file biner dan untuk sementara tidak menyertakan kode sumber. Bons juga menuduh proyek tersebut menekan operator agar melakukan peningkatan versi.

Namun, Yayasan XRP Ledger mengatakan yayasan itu, RippleX, pengembang inti, dan validator bersama-sama memutuskan untuk melewati proses amendemen normal setelah menilai tingkat keparahan bug tersebut. Yayasan mengatakan tidak ada satu pihak pun yang dapat mengambil keputusan itu sendiri. Yayasan mengatakan setiap validator dan operator node memilih perangkat lunak yang akan dijalankan. Yayasan mengatakan versi 3.4.1 baru diwajibkan melalui pemungutan suara amendemen normal dengan dukungan lebih dari 80% validator selama dua minggu. Yayasan mengatakan perubahan protokol tetap dilakukan melalui amendemen.

Operator validator independen XRP Kuwait juga menolak klaim bahwa peningkatan versi yang terkoordinasi menunjukkan kendali terpusat. XRP Kuwait mengatakan operator independen dapat menilai situasi, berkomunikasi, dan mencapai kesimpulan yang sama tanpa melepaskan independensi mereka.

Laporan pengungkapan kerentanan proyek itu mengidentifikasi bug tersebut sebagai integer overflow pada mesin pembayaran XRP Ledger yang telah ada sejak 2015. Saldo XRP disimpan sebagai bilangan bulat 64-bit dengan batas maksimum tetap. Penjumlahan yang melampaui batas itu menyebabkan perhitungan menghasilkan angka yang lebih kecil, alih-alih gagal.

Penyerang dapat membuat ratusan penawaran dengan harga khusus, yang masing-masing meminta XRP dalam jumlah sangat besar, lalu mengirim satu pembayaran yang menggunakan semua penawaran tersebut. Mesin pembayaran akan mengkreditkan jumlah penuh kepada pemilik setiap penawaran, tetapi hanya membebankan pembeli total kecil yang dihasilkan oleh overflow. Selisihnya akan menjadi XRP baru yang dapat dibelanjakan. Laporan pengungkapan kerentanan itu mengatakan serangan tersebut membutuhkan penawaran yang dirancang secara khusus dan tidak dapat dipicu oleh aktivitas perdagangan normal. Pengembang mengatakan mereka tidak menemukan bukti bahwa masalah tersebut telah dieksploitasi di jaringan publik mana pun.