XRP Ledger Foundation bảo vệ bản vá khẩn cấp trước cáo buộc ép nâng cấp

XRP Ledger Foundation bác bỏ cáo buộc cho rằng bản vá bảo mật khẩn cấp bị áp đặt lên các đơn vị vận hành mạng. Bản vá khắc phục lỗi có thể tạo ra XRP vượt quá nguồn cung cố định của mạng lưới. Bản sửa lỗi được phát hành ngày 25 tháng 9, ba ngày sau khi có báo cáo thông qua chương trình săn tiền thưởng lỗi. Bản sửa lỗi lập tức có hiệu lực trên bất kỳ máy chủ nào cài đặt nó.

Các nhà phát triển XRP Ledger cho biết đây là lần đầu tiên quy trình sửa đổi thông thường bị bỏ qua một cách có chủ đích kể từ khi hệ thống được đưa vào hoạt động hơn 10 năm trước. Các nhà phát triển nói họ không thể chờ cuộc bỏ phiếu thông thường kéo dài hai tuần của các trình xác thực mà không để lộ lỗ hổng cho kẻ tấn công. Hôm Chủ nhật, các nhà phát triển cho biết cuộc bỏ phiếu sửa đổi thông thường sẽ khiến bản sửa lỗi bị công khai trong nhiều tuần trước khi được triển khai, gây rủi ro cho an ninh mạng lưới.

Bản sửa lỗi được đẩy nhanh làm dấy lên câu hỏi về mức độ phi tập trung của XRP Ledger. Trên trang web, XRP Ledger mô tả mạng lưới là một blockchain công khai, phi tập trung hoàn toàn. Đặc điểm này đóng vai trò trọng tâm trong các lập luận cho rằng token gốc XRP không phải là chứng khoán.

Hôm thứ Năm, nhà sáng lập Cyber Capital Justin Bons nói việc tiếp thị XRP cho nhà đầu tư cá nhân như một tài sản phi tập trung là “gian lận trắng trợn”. Bons lập luận rằng đợt phát hành khẩn cấp ngày 25 tháng 9 chỉ cung cấp các tệp nhị phân và tạm thời giữ lại mã nguồn. Bons cũng cáo buộc dự án gây sức ép buộc các đơn vị vận hành nâng cấp.

Tuy nhiên, XRP Ledger Foundation cho biết quỹ, RippleX, các nhà phát triển cốt lõi và các trình xác thực đã cùng quyết định bỏ qua quy trình sửa đổi thông thường sau khi đánh giá mức độ nghiêm trọng của lỗi. Quỹ nói không bên nào có thể tự đưa ra quyết định đó. Quỹ cho biết mỗi trình xác thực và đơn vị vận hành nút tự chọn phần mềm sử dụng. Quỹ nói phiên bản 3.4.1 chỉ trở thành phiên bản bắt buộc thông qua một cuộc bỏ phiếu sửa đổi thông thường, với hơn 80% trình xác thực ủng hộ trong hai tuần. Quỹ cho biết các thay đổi giao thức vẫn được thực hiện thông qua quy trình sửa đổi.

Đơn vị vận hành trình xác thực độc lập XRP Kuwait cũng bác bỏ cáo buộc cho rằng các đợt nâng cấp phối hợp cho thấy quyền kiểm soát tập trung. XRP Kuwait nói các đơn vị vận hành độc lập có thể đánh giá tình hình, trao đổi và đi đến cùng một kết luận mà không từ bỏ tính độc lập.

Báo cáo công bố lỗ hổng của dự án xác định lỗi là hiện tượng tràn số nguyên trong công cụ xử lý thanh toán của XRP Ledger, tồn tại từ năm 2015. Số dư XRP được lưu dưới dạng số nguyên 64 bit với mức tối đa cố định. Tổng vượt quá mức tối đa đó khiến phép tính trả về một con số nhỏ hơn thay vì báo lỗi.

Kẻ tấn công có thể tạo hàng trăm lệnh chào bán với mức giá được thiết kế đặc biệt, mỗi lệnh yêu cầu một lượng XRP rất lớn, rồi gửi một khoản thanh toán để khớp toàn bộ các lệnh đó. Công cụ xử lý thanh toán sẽ ghi có cho chủ mỗi lệnh toàn bộ số tiền, nhưng chỉ tính phí người mua khoản tổng rất nhỏ do hiện tượng tràn số tạo ra. Phần chênh lệch sẽ trở thành XRP mới được tạo ra và có thể sử dụng để chi tiêu. Báo cáo công bố lỗ hổng cho biết cuộc tấn công đòi hỏi các lệnh chào bán được tạo có chủ đích và không thể bị kích hoạt bởi hoạt động giao dịch thông thường. Các nhà phát triển cho biết họ không tìm thấy bằng chứng vấn đề này từng bị khai thác trên bất kỳ mạng công khai nào.