XRP Ledger از پچ اضطراری برای اشکال نامحدود XRP دفاع می کند

بنیاد XRP Ledger در برابر ادعاهایی مبنی بر اینکه وصله امنیتی اضطراری آن به اپراتورهای شبکه تحمیل شده است، مخالفت کرد.

بنیاد XRP Ledger در برابر ادعاهایی مبنی بر اینکه وصله امنیتی اضطراری آن به اپراتورهای شبکه تحمیل شده است، مخالفت کرد.

توسعه‌دهندگان XRP Ledger از وصله امنیتی اضطراری مورد استفاده برای رفع اشکالی که قادر به ایجاد XRP فراتر از منابع ثابت شبکه است، دفاع کرده‌اند و می‌گویند که نمی‌توانند منتظر رای اعتبارسنجی معمول دو هفته‌ای شبکه بدون افشای این نقص در مقابل مهاجمان باشند.

این اصلاح که در 25 سپتامبر منتشر شد، سه روز پس از گزارش جایزه باگ ارائه شد و بلافاصله بر روی هر سروری که آن را نصب کرده بود، اعمال شد. آنها گفتند که این اولین دور زدن عمدی روند عادی اصلاحات از زمان معرفی این سیستم بیش از ده سال پیش بود.

توسعه دهندگان XRPL در یک پست X در روز یکشنبه گفتند: "با یک رای متمم معمولی، این اصلاح هفته ها قبل از اجرایی شدن عمومی بود و امنیت شبکه را به خطر می انداخت."

رفع سریع منجر به سوالاتی در مورد سطح غیرمتمرکز XRPL شد. در وب‌سایت خود، XRPL ادعا می‌کند که یک بلاک چین کاملاً غیرمتمرکز و عمومی است - مشخصه‌ای که برای استدلال‌هایی که نشان می‌دهد رمز اصلی آن، XRP، یک امنیت نیست، محوری بوده است.

جاستین بونز، بنیانگذار سایبر کپیتال، پنجشنبه گفت که بازاریابی XRP برای سرمایه گذاران خرد به صورت غیرمتمرکز به منزله «کلاهبرداری مستقیم» است. او استدلال کرد که نسخه اضطراری 25 سپتامبر فقط به صورت باینری ارسال شد، به طور موقت کد منبع را مخفی کرد و اپراتورها را برای ارتقاء تحت فشار قرار داد.

با این حال، بنیاد XRPL گفت که تصمیم برای رد شدن از روند عادی اصلاحات به طور مشترک توسط بنیاد، RippleX، هسته گرفته شده است.توسعه دهندگان و اعتبار سنجی پس از ارزیابی شدت باگ.

بنیاد گفت: "هیچ طرف به تنهایی نمی تواند آن تماس را انجام دهد. هر اعتبارسنجی و اپراتور گره انتخاب می کند که چه نرم افزاری اجرا شود، و 3.4.1 تنها از طریق یک رای متمم معمولی با بیش از 80٪ پشتیبانی اعتبار سنجی برای دو هفته مورد نیاز است. تغییرات پروتکل هنوز از طریق اصلاحات انجام می شود."

XRP کویت، یک اپراتور مستقل اعتبارسنجی، همچنین ادعاهایی مبنی بر اینکه ارتقاهای هماهنگ سیگنال کنترل متمرکز را نشان می دهد، رد کرد.

در این بیانیه آمده است: «ما با این ادعا موافق نیستیم که اپراتورهایی که یک به‌روزرسانی را هماهنگ می‌کنند، به خودی خود دلیلی بر کنترل متمرکز است. "هماهنگی با کنترل یکی نیست. اپراتورهای مستقل می توانند یک موقعیت را ارزیابی کنند، با یکدیگر ارتباط برقرار کنند و بدون دست کشیدن از استقلال خود به یک نتیجه برسند."

بر اساس گزارش افشای آسیب‌پذیری پروژه، این باگ یک سرریز عدد صحیح در موتور پرداخت XRP Ledger بود که از سال 2015 وجود داشت.

موجودی های XRP به صورت اعداد صحیح 64 بیتی با حداکثر ثابت ذخیره می شوند. هنگامی که یک مجموع از حداکثر آن فراتر رفت، محاسبه به جای شکست، به عدد کوچکتری بسته می‌شود.

یک مهاجم می‌تواند با ایجاد صدها پیشنهاد با قیمت ویژه، که هر کدام مقدار بسیار زیادی XRP درخواست می‌کنند، از این موضوع سوء استفاده کند، سپس یک پرداخت را ارسال می‌کند که همه آنها را مصرف می‌کند.

موتور به هر یک از صاحبان پیشنهاد مبلغ کامل خود را اعتبار می دهد، اما فقط مبلغ کوچک بسته بندی شده را از خریدار دریافت می کند. تفاوت XRP جدید ایجاد شده و قابل مصرف خواهد بود.

حمله مورد نیاز استبر اساس این گزارش، پیشنهادات عمدی ساخته شده است و نمی تواند با فعالیت های عادی معاملاتی ایجاد شود. توسعه دهندگان گفتند که هیچ مدرکی دال بر سوء استفاده از این موضوع در هیچ شبکه عمومی پیدا نکردند.