XRP Ledger Foundation ปกป้องแพตช์ฉุกเฉิน หลังถูกกล่าวหาว่าบังคับให้อัปเกรด

XRP Ledger Foundation ปฏิเสธข้อกล่าวหาว่าบังคับผู้ดูแลเครือข่ายให้ติดตั้งแพตช์ความปลอดภัยฉุกเฉิน แพตช์ดังกล่าวแก้บั๊กที่อาจทำให้สร้าง XRP เกินอุปทานคงที่ของเครือข่าย การแก้ไขเผยแพร่เมื่อวันที่ 25 กันยายน หรือ 3 วันหลังได้รับรายงานผ่านโครงการให้รางวัลบั๊ก และมีผลทันทีบนเซิร์ฟเวอร์ทุกเครื่องที่ติดตั้งแพตช์

นักพัฒนา XRP Ledger ระบุว่าการเผยแพร่ครั้งนี้เป็นการข้ามขั้นตอนการแก้ไขตามปกติโดยเจตนาเป็นครั้งแรก นับตั้งแต่มีการนำระบบมาใช้เมื่อกว่า 10 ปีก่อน นักพัฒนาระบุว่าไม่สามารถรอการลงคะแนนของผู้ตรวจสอบความถูกต้องตามปกติซึ่งใช้เวลา 2 สัปดาห์ได้ เพราะจะเป็นการเปิดเผยช่องโหว่ให้ผู้โจมตีทราบ นักพัฒนาระบุเมื่อวันอาทิตย์ว่า การลงคะแนนแก้ไขตามปกติจะทำให้การแก้ไขถูกเปิดเผยต่อสาธารณะเป็นเวลาหลายสัปดาห์ก่อนนำไปใช้ ซึ่งเสี่ยงต่อความปลอดภัยของเครือข่าย

การแก้ไขอย่างเร่งด่วนทำให้เกิดคำถามเกี่ยวกับระดับการกระจายศูนย์ของ XRP Ledger เว็บไซต์ของ XRP Ledger ระบุว่าเครือข่ายเป็นบล็อกเชนสาธารณะที่กระจายศูนย์อย่างสมบูรณ์ คำกล่าวอ้างดังกล่าวเป็นประเด็นสำคัญในการโต้แย้งว่าโทเคนดั้งเดิมของเครือข่ายคือ XRP ไม่ใช่หลักทรัพย์

จัสติน บอนส์ ผู้ก่อตั้ง Cyber Capital กล่าวเมื่อวันพฤหัสบดีว่า การทำการตลาด XRP ต่อนักลงทุนรายย่อยในฐานะสินทรัพย์ที่กระจายศูนย์ถือเป็น “การฉ้อโกงอย่างโจ่งแจ้ง” บอนส์โต้แย้งว่าการเผยแพร่แพตช์ฉุกเฉินเมื่อวันที่ 25 กันยายนให้มาเพียงไฟล์ไบนารี และระงับการเปิดเผยซอร์สโค้ดไว้ชั่วคราว บอนส์ยังกล่าวหาว่าโครงการกดดันผู้ดูแลระบบให้อัปเกรด

อย่างไรก็ตาม XRP Ledger Foundation ระบุว่า มูลนิธิ RippleX นักพัฒนาหลัก และผู้ตรวจสอบความถูกต้อง ร่วมกันตัดสินใจข้ามขั้นตอนการแก้ไขตามปกติหลังประเมินความร้ายแรงของบั๊ก มูลนิธิระบุว่าไม่มีฝ่ายใดฝ่ายหนึ่งตัดสินใจเรื่องนี้ได้เพียงลำพัง มูลนิธิระบุว่าผู้ตรวจสอบความถูกต้องและผู้ดูแลโหนดแต่ละรายเลือกซอฟต์แวร์ที่จะใช้งานได้เอง มูลนิธิระบุว่าเวอร์ชัน 3.4.1 จะกลายเป็นข้อบังคับก็ต่อเมื่อผ่านการลงคะแนนแก้ไขตามปกติ โดยได้รับเสียงสนับสนุนจากผู้ตรวจสอบความถูกต้องมากกว่า 80% ต่อเนื่องเป็นเวลา 2 สัปดาห์ มูลนิธิระบุว่าการเปลี่ยนแปลงโพรโทคอลยังคงต้องผ่านกระบวนการแก้ไข

XRP Kuwait ซึ่งเป็นผู้ดูแลผู้ตรวจสอบความถูกต้องอิสระ ปฏิเสธเช่นกันว่าการอัปเกรดที่ประสานงานกันแสดงถึงการควบคุมแบบรวมศูนย์ XRP Kuwait ระบุว่าผู้ดำเนินการอิสระสามารถประเมินสถานการณ์ สื่อสารกัน และได้ข้อสรุปเดียวกัน โดยไม่ต้องสละความเป็นอิสระของตน

รายงานการเปิดเผยช่องโหว่ของโครงการระบุว่าบั๊กดังกล่าวเป็นจำนวนเต็มล้นในระบบประมวลผลการชำระเงินของ XRP Ledger ซึ่งมีอยู่มาตั้งแต่ปี 2015 ยอดคงเหลือ XRP จัดเก็บเป็นจำนวนเต็ม 64 บิต โดยมีค่าสูงสุดตายตัว หากผลรวมเกินค่าสูงสุดนั้น การคำนวณจะคืนค่าตัวเลขที่น้อยลงแทนที่จะแจ้งข้อผิดพลาด

ผู้โจมตีอาจสร้างข้อเสนอหลายร้อยรายการที่กำหนดราคาเป็นพิเศษ โดยแต่ละรายการเรียกร้อง XRP จำนวนมาก จากนั้นส่งการชำระเงินครั้งเดียวเพื่อใช้ข้อเสนอทั้งหมด ระบบประมวลผลการชำระเงินจะให้เครดิตแก่เจ้าของข้อเสนอแต่ละรายเป็นจำนวนเต็ม แต่เรียกเก็บจากผู้ซื้อเพียงยอดรวมเล็กน้อยที่เกิดจากจำนวนเต็มล้น ส่วนต่างจะกลายเป็น XRP ที่ถูกสร้างขึ้นใหม่และสามารถใช้จ่ายได้ รายงานการเปิดเผยช่องโหว่ระบุว่าการโจมตีต้องอาศัยข้อเสนอที่จัดทำขึ้นโดยเจตนา และไม่สามารถเกิดจากกิจกรรมซื้อขายตามปกติ นักพัฒนาระบุว่าไม่พบหลักฐานว่ามีการใช้ประโยชน์จากปัญหานี้บนเครือข่ายสาธารณะใดๆ