XRPL выпустил патч против несанкционированного создания XRP

Разработчики XRP Ledger 25 сентября выпустили экстренный патч для устранения уязвимости в платежном механизме. Исправление появилось через три дня после сообщения об ошибке в рамках программы поиска багов и сразу вступало в силу на серверах, где его устанавливали.

По словам разработчиков, ждать стандартного двухнедельного голосования валидаторов было нельзя. При обычной процедуре сведения об исправлении оставались бы публичными несколько недель до его активации, что могло привлечь внимание злоумышленников. В публикации в X разработчики назвали этот случай первым намеренным обходом стандартного процесса внесения поправок с момента запуска XRP Ledger более десяти лет назад.

Решение приняли XRPL Foundation, RippleX, основные разработчики и валидаторы после оценки серьезности ошибки. Фонд отметил, что ни одна организация не могла самостоятельно ввести патч: операторы сами выбирают программное обеспечение для своих нод. Версия 341 стала обязательной позднее, после обычного голосования и поддержки более 80% валидаторов в течение двух недель.

«Изменения протокола по-прежнему проходят через процедуру поправок», — говорится в сообщении XRPL Foundation. По данным фонда, экстренное исправление применили для закрытия уязвимости до ее публичного обсуждения.

Порядок выпуска патча вызвал вопросы о децентрализации XRP Ledger. Основатель Cyber Capital Джастин Бонс охарактеризовал продвижение XRP как децентрализованного актива среди розничных инвесторов как «откровенное мошенничество». Он утверждал, что первоначальный релиз распространялся только в виде бинарных файлов, исходный код временно не предоставлялся, а операторов нод вынуждали обновиться.

Независимый оператор-валидатор XRP Kuwait отверг связь между координацией обновления и централизованным контролем. «Координация не равна контролю. Независимые операторы могут оценить ситуацию, связаться друг с другом и прийти к одному выводу, не отказываясь от своей независимости», — говорится в комментарии компании.

Согласно отчету о раскрытии уязвимости, ошибка существовала с 2015 года и была связана с переполнением целого числа в платежном механизме. Балансы XRP хранятся в 64-битном формате с фиксированным максимальным значением. Если расчет превышал этот предел, система возвращала меньшее число вместо отмены операции с ошибкой.

Злоумышленник мог создать сотни ордеров с искусственно завышенными значениями, а затем отправить один платеж, который поглощал бы их. Владельцам ордеров начислялись полные суммы, тогда как с покупателя списывалась небольшая величина, полученная из-за переполнения. Разница могла представлять собой вновь созданные XRP.

Для атаки требовались специально сформированные ордера, поэтому обычная торговая активность не могла запустить этот сценарий. Разработчики не обнаружили свидетельств использования уязвимости в публичных сетях.