Falha no XRP Ledger poderia ter rompido limite de 100 bilhões de tokens

Um relatório de segurança publicado na sexta-feira afirmou que uma falha no sistema de pagamentos do XRP Ledger poderia ter permitido que um invasor criasse XRP negociável. A oferta de XRP é limitada a 100 bilhões de tokens. A falha provavelmente passou despercebida desde 2015. O XRP vale cerca de US$ 88,8 bilhões, a um preço de US$ 1,41 por token. A RippleX, braço de desenvolvimento da Ripple, disse não ter encontrado indícios de que alguém tenha explorado a falha.

O XRP Ledger tem um mercado integrado em que contas oferecem trocar um token por outro. Segundo o relatório de segurança, um invasor poderia abrir algumas centenas de contas oferecendo quantias mínimas de um token por enormes quantias de XRP. Um único pagamento poderia então comprar todas as ofertas de uma só vez. O total acumulado pelo software de pagamentos ultrapassaria o limite do contador, que voltaria a um valor minúsculo. As contas vendedoras receberiam o pagamento integral, enquanto o comprador pagaria quase nada. Uma verificação de segurança destinada a detectar XRP recém-criado usava o mesmo contador e também não identificaria a discrepância. O pesquisador Cayden Liao e a Veria AI comunicaram a falha pelo programa de recompensas por bugs do XRPL em 22 de setembro.

Mudanças nas regras do XRP Ledger normalmente exigem o apoio de mais de 80% dos validadores confiáveis por duas semanas. Validadores confiáveis são servidores que confirmam transações. A correção foi lançada no software de servidor versão 3.4.1 em 25 de setembro e entrou em vigor assim que cada operador atualizou o sistema. A RippleX disse que essa foi a primeira mudança deliberada no processamento de transações lançada dessa forma desde que o sistema de emendas começou, há mais de dez anos. A RippleX disse que uma votação pública teria exposto a falha no código aberto por semanas enquanto ela ainda pudesse ser explorada. Mais de 80% dos validadores padrão atualizaram o sistema no dia do lançamento, antes da publicação do código da correção. O relatório de segurança disse que a XRPL Foundation, a RippleX e os validadores tomaram a decisão em conjunto. A RippleX disse que as votações continuam sendo a regra para mudanças futuras.

A divulgação ocorreu um dia depois de Justin Bons, fundador da Cyber Capital, chamar de “fraude” a venda de XRP como descentralizado, durante um debate sobre descentralização com David Schwartz, da Ripple.