XRP Ledger geliştiricileri, ağın sabit arzının üzerinde XRP oluşturulmasına yol açabilecek bir hatayı düzeltmek için kullanılan acil güvenlik yamasını savundu ve ağı saldırganlara açık bırakmadan ağın olağan iki haftalık doğrulayıcı oylamasını bekleyemeyeceklerini söyledi.
25 Eylülde yayımlanan düzeltme, bir hata ödülü raporundan üç gün sonra geldi ve yamayı yükleyen tüm sunucularda hemen yürürlüğe girdi. Geliştiriciler, bunun sistemin 10 yıldan uzun süre önce kullanıma sunulmasından bu yana normal değişiklik sürecinin kasıtlı olarak ilk kez atlanması olduğunu söyledi.
“Normal bir değişiklik oylamasıyla düzeltme, yürürlüğe girmeden önce haftalarca kamuya açık kalacak ve ağ güvenliğini riske atacaktı,” XRPL geliştiricileri Pazar günü Xteki bir gönderide dedi.
Hızlandırılmış düzeltme, XRPL‘nin merkeziyetsizlik düzeyi hakkında sorulara yol açtı. XRPL, internet sitesinde tamamen merkeziyetsiz, halka açık bir blockchain olduğunu iddia ediyor; bu nitelendirme, yerel tokenı XRP’nin menkul kıymet olmadığı yönündeki argümanların merkezinde yer alıyor.
XRPL güvenlik düzeltmesi “çok sayıda soru doğurdu”
Cyber Capital kurucusu Justin Bons Perşembe günü, XRP‘nin perakende yatırımcılara merkeziyetsiz olarak pazarlanmasının “apaçık dolandırıcılık” anlamına geldiğini söyledi. Bons, 25 Eylül’deki acil sürümün yalnızca ikili dosyalar biçiminde yayımlandığını, kaynak kodunun geçici olarak saklandığını ve operatörlerin yükseltme yapmaya zorlandığını savundu.
Bununla birlikte XRPL Foundation, normal değişiklik sürecinin atlanması kararının, hatanın ciddiyeti değerlendirildikten sonra Foundation, RippleX, çekirdek geliştiriciler ve doğrulayıcılar tarafından ortaklaşa alındığını söyledi.
“Bu kararı tek başına hiçbir taraf alamazdı. Her doğrulayıcı ve düğüm operatörü hangi yazılımı çalıştıracağını seçer ve 3.4.1, yalnızca iki hafta boyunca doğrulayıcıların yüzde 80inden fazlasının desteğini alan normal bir değişiklik oylamasıyla zorunlu hale geldi. Protokol değişiklikleri hâlâ değişiklik süreçlerinden geçiyor,” dedi foundation.
İlgili: Ledger yetkisiz donanım implantını doğruladı, kayıpların 86 milyon doları aşabileceğini söyledi
Bağımsız bir doğrulayıcı operatörü olan XRP Kuwait de koordineli yükseltmelerin merkezi kontrol anlamına geldiği yönündeki iddiaları reddetti.
“Operatörlerin bir güncellemeyi koordine etmesinin tek başına merkezi kontrol kanıtı olduğu iddiasına katılmıyoruz,” dedi. “Koordinasyon, kontrolle aynı şey değildir. Bağımsız operatörler bir durumu değerlendirebilir, birbirleriyle iletişim kurabilir ve bağımsızlıklarından vazgeçmeden aynı sonuca ulaşabilir.”
Hata sınırsız XRP basılmasına yol açabilirdi
Projenin güvenlik açığı açıklama raporuna göre hata, XRP Ledger‘ın ödeme motorunda 2015’ten beri bulunan bir tamsayı taşmasıydı.
XRP bakiyeleri, sabit bir maksimum değere sahip 64 bitlik tamsayılar olarak saklanıyor. Bir toplam bu maksimumu aştığında hesaplama başarısız olmak yerine daha küçük bir sayıya sarılıyordu.
Bir saldırgan, her biri çok büyük miktarda XRP isteyen yüzlerce özel fiyatlandırılmış teklif oluşturarak ve ardından bunların tümünü tüketen tek bir ödeme göndererek bundan yararlanabilirdi.
Motor, her teklif sahibinin hesabına teklifin tam tutarını geçirirken alıcıdan yalnızca sarmalanmış küçük toplamı tahsil edecekti. Aradaki fark, yeni oluşturulmuş ve harcanabilir XRP olacaktı.
Rapora göre saldırı, kasıtlı olarak oluşturulmuş teklifler gerektiriyordu ve normal işlem faaliyetiyle tetiklenemiyordu. Geliştiriciler, sorunun herhangi bir halka açık ağda istismar edildiğine dair kanıt bulamadıklarını söyledi.