Ошибка в XRP Ledger могла позволить превысить лимит эмиссии в 100 млрд токенов

В опубликованном в пятницу отчете по безопасности говорится, что уязвимость в платежном ПО XRP Ledger могла позволить злоумышленнику создать XRP, пригодные для расходования. Предложение XRP ограничено 100 млрд токенов. Вероятно, ошибка оставалась незамеченной с 2015 года. При цене токена 1,41 доллара стоимость XRP составляет около 88,8 млрд долларов. RippleX, подразделение Ripple, занимающееся разработкой, заявила, что не обнаружила признаков использования уязвимости.

В XRP Ledger есть встроенная площадка, где аккаунты предлагают обменять один токен на другой. Согласно отчету по безопасности, злоумышленник мог открыть несколько сотен аккаунтов и предложить обменять небольшое количество токена на огромное количество XRP. Тогда один платеж мог бы выкупить все предложения сразу. Суммарное значение в платежном ПО превысило бы предел счетчика, и тот сбросился бы до небольшого числа. Аккаунты продавцов получили бы полную оплату, тогда как покупатель заплатил бы почти ничего. Проверка безопасности, предназначенная для выявления вновь созданных XRP, использовала тот же счетчик и также не обнаружила бы расхождение. Исследователь Кейден Ляо и Veria AI сообщили об уязвимости через программу вознаграждения XRPL за поиск ошибок 22 сентября.

Изменения правил в XRP Ledger обычно требуют поддержки более чем 80 % доверенных валидаторов в течение двух недель. Доверенные валидаторы — это серверы, подтверждающие транзакции. Исправление выпустили в версии серверного ПО 3.4.1 25 сентября; оно вступило в силу сразу после обновления каждым оператором. RippleX заявила, что это было первое преднамеренное изменение обработки транзакций, выпущенное таким способом с момента введения системы поправок более десяти лет назад. RippleX заявила, что публичное голосование раскрыло бы уязвимость в открытом коде на несколько недель, пока она оставалась доступной для эксплуатации. В день выпуска обновление установили более 80 % валидаторов по умолчанию — до публикации кода исправления. В отчете по безопасности говорится, что XRPL Foundation, RippleX и валидаторы приняли это решение совместно. RippleX заявила, что для будущих изменений по-прежнему будут проводиться голосования.

Публикация отчета состоялась на следующий день после того, как основатель Cyber Capital Джастин Бонс назвал продажу XRP как децентрализованного актива «мошенничеством» в ходе дебатов о децентрализации с Дэвидом Шварцем из Ripple.