Các nhà phát triển XRP Ledger bảo vệ bản vá bảo mật khẩn cấp được sử dụng để khắc phục một lỗi có khả năng tạo ra XRP vượt quá nguồn cung cố định của mạng lưới, cho biết họ không thể chờ cuộc bỏ phiếu kéo dài hai tuần thường lệ của các trình xác thực mạng lưới mà không khiến lỗ hổng có nguy cơ bị kẻ tấn công khai thác.
Bản sửa lỗi được phát hành ngày 25 tháng 9, ba ngày sau khi có báo cáo tiền thưởng phát hiện lỗi, và có hiệu lực ngay lập tức trên mọi máy chủ cài đặt bản sửa lỗi. Theo các nhà phát triển, đây là lần đầu tiên quy trình sửa đổi thông thường bị cố ý bỏ qua kể từ khi hệ thống được ra mắt hơn mười năm trước.
“Với một cuộc bỏ phiếu sửa đổi thông thường, bản sửa lỗi sẽ được công khai nhiều tuần trước khi có hiệu lực, gây rủi ro cho an ninh mạng lưới”, các nhà phát triển XRPL cho biết trong một bài đăng trên X hôm Chủ nhật.
Bản sửa lỗi được đẩy nhanh đã dẫn đến những câu hỏi về mức độ phi tập trung của XRPL. Trên trang web của mình, XRPL tuyên bố là một blockchain công khai, hoàn toàn phi tập trung — đặc điểm đã đóng vai trò trung tâm trong các lập luận rằng token gốc XRP không phải là chứng khoán.
Bản sửa lỗi bảo mật của XRPL “làm dấy lên rất nhiều câu hỏi”
Nhà sáng lập Cyber Capital Justin Bons cho biết hôm thứ Năm rằng việc tiếp thị XRP cho các nhà đầu tư nhỏ lẻ như một tài sản phi tập trung là “gian lận trắng trợn”. Ông lập luận rằng bản phát hành khẩn cấp ngày 25 tháng 9 chỉ được cung cấp dưới dạng tệp nhị phân, tạm thời không công bố mã nguồn và gây áp lực buộc các đơn vị vận hành nâng cấp.
Tuy nhiên, XRPL Foundation cho biết quyết định bỏ qua quy trình sửa đổi thông thường được Foundation, RippleX, các nhà phát triển cốt lõi và các trình xác thực cùng đưa ra sau khi đánh giá mức độ nghiêm trọng của lỗi.
“Không bên đơn lẻ nào có thể tự mình đưa ra quyết định đó. Mỗi trình xác thực và đơn vị vận hành nút đều lựa chọn phần mềm để chạy, và phiên bản 3.4.1 chỉ trở thành bắt buộc thông qua một cuộc bỏ phiếu sửa đổi thông thường với hơn 80% sự ủng hộ của các trình xác thực trong hai tuần. Các thay đổi giao thức vẫn được thực hiện thông qua các lần sửa đổi”, foundation cho biết.
Liên quan: Ledger xác nhận thiết bị phần cứng cấy trái phép, cho biết tổn thất có thể vượt 86 triệu USD
XRP Kuwait, một đơn vị vận hành trình xác thực độc lập, cũng bác bỏ các cáo buộc cho rằng những lần nâng cấp được phối hợp cho thấy sự kiểm soát tập trung.
“Chúng tôi không đồng ý với nhận định rằng việc các đơn vị vận hành phối hợp cập nhật, tự thân nó, là bằng chứng của sự kiểm soát tập trung”, đơn vị này cho biết. “Phối hợp không giống với kiểm soát. Các đơn vị vận hành độc lập có thể đánh giá một tình huống, trao đổi với nhau và đi đến cùng một kết luận mà không từ bỏ tính độc lập của mình.”
Lỗi có thể đã tạo ra XRP không giới hạn
Theo báo cáo công bố lỗ hổng của dự án, lỗi này là lỗi tràn số nguyên trong hệ thống xử lý thanh toán của XRP Ledger và đã tồn tại từ năm 2015.
Số dư XRP được lưu trữ dưới dạng số nguyên 64 bit với mức tối đa cố định. Khi một tổng vượt quá mức tối đa đó, phép tính quay vòng về một số nhỏ hơn thay vì báo lỗi.
Kẻ tấn công có thể khai thác lỗi này bằng cách tạo hàng trăm lệnh chào bán có mức giá được thiết kế đặc biệt, mỗi lệnh yêu cầu một lượng XRP rất lớn, sau đó gửi một khoản thanh toán duy nhất để khớp toàn bộ chúng.
Hệ thống sẽ ghi có cho chủ sở hữu của từng lệnh toàn bộ số tiền của họ nhưng chỉ tính người mua khoản tổng nhỏ xíu sau khi quay vòng. Phần chênh lệch sẽ trở thành XRP mới được tạo ra và có thể chi tiêu.
Theo báo cáo, cuộc tấn công đòi hỏi các lệnh được tạo dựng có chủ đích và không thể được kích hoạt bởi hoạt động giao dịch thông thường. Các nhà phát triển cho biết họ không tìm thấy bằng chứng cho thấy vấn đề đã bị khai thác trên bất kỳ mạng công khai nào.