Ripple punta a ridurre la superficie d’attacco di XRPL mentre l’audit con AI mette alla prova il lending

Ripple ha raccomandato di rimuovere dal XRP Ledger oltre 10.000 righe di codice XChainBridge inutilizzato. Sherlock sta conducendo tramite il suo Audit Engine una revisione della sicurezza esclusivamente basata sull’AI di Lending Protocol V1.1, iniziata il 27 agosto. Sherlock non ha divulgato i risultati né una data di completamento. Ripple ha scelto Axelar per la XRPL EVM Sidechain dopo aver valutato i requisiti di sicurezza, esperienza utente, decentralizzazione e manutenzione del bridge. Ripple ha affermato che il modello dei witness di XLS-38 comportava compromessi diventati più difficili da gestire con l’aumento del valore protetto dal bridge. Ripple ha mantenuto XLS-38 disponibile per il voto dei validator dopo aver annunciato la decisione su Axelar nel giugno 2024. Ripple ha concesso agli sviluppatori circa 12-15 mesi per dimostrare la domanda di sidechain private che richiedevano l’emendamento. Tale domanda non ha raggiunto il livello previsto da Ripple. Ripple ha affermato che mantenere la funzionalità inattiva crea oneri di manutenzione, complessità per i contributor e costi legati alla superficie d’attacco. La raccomandazione non rimuoverebbe immediatamente XLS-38. Ripple controlla un voto da validator. La proposta resta soggetta al processo di emendamento di XRPL. Se la community sosterrà la modifica, Ripple prevede innanzitutto di contrassegnare XChainBridge come obsoleto. I validator che eseguono software con tale designazione smetterebbero di votare per l’emendamento. Il codice potrebbe essere rimosso in una release successiva, dopo che la rete avrà raggiunto una convergenza. Ripple potrebbe riconsiderare la proposta se gli sviluppatori dimostrassero l’esistenza di progetti che richiedono ancora XLS-38. Lending Protocol V1.1 aggiungerebbe capacità native di borrowing e lending accanto a Single Asset Vaults. L’architettura comprende la gestione del ciclo di vita dei prestiti, il calcolo dei tassi d’interesse, l’instradamento delle commissioni tra più parti, autorizzazioni basate su credenziali e interazioni con i pool di asset. Ripple ha descritto il sistema come una delle aggiunte finanziariamente più complesse a XRPL dal lancio della rete. Un attackathon da $200.000 alla fine del 2025 ha riguardato 35.498 righe di codice relativo al lending e ai Single Asset Vault. L’evento ha prodotto 94 risultati validi unici da 455 contributi presentati da 131 ricercatori. I risultati comprendevano 15 problemi critici e 19 problemi ad alta gravità. Ripple ha affermato di aver risolto tutti i problemi identificati. In seguito Ripple ha utilizzato audit aggiuntivi, test della community, fuzzing e un programma di red team assistito dall’AI. Tra marzo e maggio, il red team AI di Ripple ha aperto 20 ticket specifici sul lending. Il programma ha identificato sette bug confermati, che Ripple ha risolto. I bug includevano un problema di invariante che avrebbe potuto consentire a garanzie fantasma di non essere rilevate. Un altro bug ha creato un vettore di spam senza commissioni riguardante i pagamenti dei prestiti. Un problema di overflow degli interi avrebbe potuto causare un deadlock di un nodo. CertiK ha registrato perdite per $1,315 miliardi in 344 incidenti di sicurezza nei primi sei mesi del 2026. Le vulnerabilità del codice sono comparse in 204 incidenti e sono state il tipo di attacco più frequente. Le compromissioni dei wallet hanno causato perdite superiori a $444 milioni. La compromissione dell’RPC di Kelp DAO e la violazione di Drift Protocol hanno rappresentato insieme $576 milioni di perdite. Ripple ha affermato che le sue pipeline AI producono falsi positivi. I ricercatori della sicurezza di Ripple hanno dichiarato che la validazione umana resta importante per i bug complessi che coinvolgono gli invarianti del protocollo. Sherlock non ha pubblicato alcun risultato della revisione esclusivamente basata sull’AI.