RippleX e la XRP Ledger Foundation hanno corretto un grave bug di sicurezza che, se sfruttato, avrebbe potuto generare una quantità illimitata di asset. La correzione, tuttavia, ha sollevato interrogativi nella comunità in merito alla sicurezza, alla centralizzazione della rete e ad altri aspetti.
Ripple rimanda l'aggiornamento di emergenza tra le critiche
Il team ha rivelato la vulnerabilità corretta sulla rete senza che venisse sfruttata su una blockchain pubblica. Si tratta di un bug critico di overflow di interi che consente ad attori malintenzionati di creare più XRP, interrompendo l'offerta fissa.
I saldi vengono memorizzati come numeri interi a 64 bit e, quando una somma viene superata, viene azzerata a un numero inferiore anziché generare un errore. Questo crea un problema nel caso in cui un hacker avvii un acquisto di grandi quantità di asset ed effettui un unico pagamento. I proprietari ricevono l'intero importo, ma all'attaccante viene addebitato un solo importo, creando così nuovi token.
Secondo gli sviluppatori, il problema risale al 2015, è stato segnalato per la prima volta durante lo Sherlock Attackathon, in cui veniva rilevato l'errore F48, ed è stato classificato come di bassa gravità. È stato segnalato tramite un recente programma di bug bounty e risolto, con circa l'80% dei validatori che hanno effettuato l'aggiornamento.
“ Durante la valutazione d'impatto, Mayukha Vadari (RippleX) ha scoperto che la discrepanza creava anche un rischio di consenso tra le versioni del server, poiché il set di wrapper accettato dipendeva dai campi definiti da ciascuna versione. Ciò ha innalzato la gravità da bassa a un blocco pre-attivazione.”
Nonostante la correzione abbia impedito attacchi che avrebbero potuto generare una grande quantità di asset, i critici hanno affermato che il processo dimostra che XRP non è così decentralizzato come sostiene. Justin Bons, fondatore di Cyber Capital, ha dichiarato che presentare XRP come decentralizzato è una vera e propria frode.
In passato, Ripple è stata anche criticata per problemi di centralizzazione , sebbene respinga costantemente tutte le accuse. Il team ha spiegato che una procedura normale avrebbe richiesto due settimane e che si è trattato del primo aggiramento deliberato di un processo di modifica da quando è stato introdotto oltre dieci anni fa.
Hanno sostenuto che la decisione di saltare le normali procedure fosse appoggiata da RippleX, gli sviluppatori principali, e non da una sola parte. Inoltre, ha ricevuto il supporto di oltre l'80% dei validatori, come sottolineato da diversi operatori.
Il validatore indipendente XRP Kuwait, in una dichiarazione pubblicata su X, ha appoggiato la decisione, distinguendo tra coordinamento e controllo in determinate situazioni. Analogamente, altri utenti hanno sostenuto l'aggiornamento a causa del rischio di un ritardo. Nel frattempo, altri membri della community hanno chiesto programmi di rilevamento bug più ampi per prevenire un attacco informatico che potrebbe minare il sentiment positivo.