XRP Ledger difende la patch di emergenza per il bug che permetteva XRP illimitati

Dettagli

La XRP Ledger Foundation ha respinto le accuse secondo cui la sua patch di sicurezza di emergenza sarebbe stata imposta agli operatori della rete.

Gli sviluppatori di XRP Ledger hanno difeso la patch di sicurezza di emergenza utilizzata per correggere un bug in grado di creare XRP oltre l'offerta fissa della rete, affermando che non potevano attendere il consueto voto dei validatori di due settimane senza esporre la falla agli attaccanti.

La correzione, rilasciata il 25 settembre, è arrivata tre giorni dopo una segnalazione di bug bounty ed è entrata in vigore immediatamente su qualsiasi server che l'ha installata. È stato il primo bypass deliberato del normale processo di emendamento da quando il sistema è stato introdotto più di dieci anni fa, hanno affermato.

"Con un normale voto di emendamento, la correzione sarebbe stata pubblica per settimane prima di entrare in vigore, mettendo a rischio la sicurezza della rete", hanno dichiarato gli sviluppatori di XRPL in un post su X domenica.

La correzione accelerata ha sollevato interrogativi sul livello di decentralizzazione di XRPL. Sul suo sito web, XRPL afferma di essere una blockchain pubblica completamente decentralizzata — una caratterizzazione che è stata centrale negli argomenti secondo cui il suo token nativo, XRP, non è un titolo.

La correzione di sicurezza di XRPL "ha sollevato molte domande"

Il fondatore di Cyber Capital Justin Bons ha dichiarato giovedì che pubblicizzare XRP agli investitori retail come decentralizzato equivale a "una frode bella e buona". Ha sostenuto che il rilascio di emergenza del 25 settembre è stato distribuito solo come binari, ha temporaneamente trattenuto il codice sorgente e ha fatto pressione sugli operatori affinché aggiornassero.

Tuttavia, la XRPL Foundation ha affermato che la decisione di saltare il normale processo di emendamento è stata presa congiuntamente dalla Foundation, RippleX, dagli sviluppatori core e dai validatori dopo aver valutato la gravità del bug.

"Nessuna singola parte avrebbe potuto prendere quella decisione da sola. Ogni validatore e operatore di nodo sceglie quale software eseguire, e la 3.4.1 è diventata obbligatoria solo attraverso un normale voto di emendamento con oltre l'80% di supporto dei validatori per due settimane. Le modifiche al protocollo passano ancora attraverso gli emendamenti", ha affermato la fondazione.

Correlato: Ledger conferma l'impianto hardware non autorizzato, afferma che le perdite potrebbero superare gli 86 milioni di dollari

Anche XRP Kuwait, un operatore di validatori indipendente, ha respinto le accuse secondo cui gli aggiornamenti coordinati segnalerebbero un controllo centralizzato.

"Non siamo d'accordo con l'affermazione secondo cui il coordinamento degli operatori per un aggiornamento sia, di per sé, prova di un controllo centralizzato", ha dichiarato. "Il coordinamento non è la stessa cosa del controllo. Gli operatori indipendenti possono valutare una situazione, comunicare tra loro e giungere alla stessa conclusione senza rinunciare alla propria indipendenza."

Secondo il rapporto di divulgazione delle vulnerabilità del progetto, il bug era un overflow di interi nel motore di pagamento di XRP Ledger, presente dal 2015.

I saldi XRP sono memorizzati come interi a 64 bit con un massimo fisso. Quando una somma superava quel massimo, il calcolo tornava a un numero più piccolo invece di fallire.

Un attaccante poteva sfruttarlo creando centinaia di offerte con prezzi appositamente studiati, ciascuna delle quali richiedeva una quantità molto elevata di XRP, per poi inviare un unico pagamento che le consumava tutte.

Il motore avrebbe accreditato a ciascun proprietario dell'offerta l'importo completo, ma avrebbe addebitato all'acquirente solo il minuscolo totale riportato. La differenza sarebbe stata XRP di nuova creazione e spendibile.

Secondo il rapporto, l'attacco richiedeva offerte costruite deliberatamente e non poteva essere innescato da normali attività di trading. Gli sviluppatori hanno affermato di non aver trovato prove che il problema sia stato sfruttato su alcuna rete pubblica.

Magazine: L'attacco a Ledger si diffonde nell'UE, l'IA trova un bug da '18 trilioni di XRP': Hodler's Digest

Iscriviti alle notizie crypto quotidiane in formato breve di Cointelegraph

Il partner di Dragonfly rifiuta il doomismo della 'modalità bunker', chiede misure blockchain proattive

L'amministrazione Trump delinea iniziative su quantum e IA in una spinta scientifica da 6 miliardi di dollari

'Nessun ritorno indietro' per le istituzioni che si muovono verso un futuro tokenizzato onchain, afferma Fidelity

Il partner di Dragonfly rifiuta il doomismo della 'modalità bunker', chiede misure blockchain proattive

L'amministrazione Trump delinea iniziative su quantum e IA in una spinta scientifica da 6 miliardi di dollari

'Nessun ritorno indietro' per le istituzioni che si muovono verso un futuro tokenizzato onchain, afferma Fidelity

Saylor stuzzica l'acquisto di Bitcoin da parte di Strategy dopo aver chiuso settembre con riacquisti di STRC

Ledger conferma l'impianto hardware non autorizzato, afferma che le perdite potrebbero superare gli 86 milioni di dollari

La Francia è il luogo più pericoloso al mondo per i bitcoiner: 90 attacchi in 7 mesi

Crypto Biz: gli investitori facoltosi acquistano crypto, ma i loro consulenti non sono convinti

Coldcard afferma di stare indagando su come un link di phishing sia apparso sul suo account X

Cointelegraph si impegna a fornire giornalismo indipendente e di alta qualità nei settori crypto, blockchain, IA e fintech.

Tutte le notizie, le recensioni e le analisi sono prodotte con piena indipendenza e integrità giornalistica. Per maggiori dettagli sui nostri standard e processi, leggi la nostra Politica Editoriale .

Monete correlate

XRP

Fonte

Cointelegraph RSS