Ripple responde a fallo grave de XRP que ponía en riesgo el suministro fijo

Ripple responde a una amenaza al suministro fijo de XRP

Un fallo crítico podría haber permitido la creación no autorizada de XRP, lo que ha llevado a Ripple a reforzar la seguridad en todo el XRP Ledger (XRPL). J. Ayo Akinyele, director sénior de ingeniería de RippleX —la división de Ripple encargada de apoyar el desarrollo de la cadena de bloques pública—, expuso la respuesta y las prioridades de seguridad en X el 10 de octubre, tras la divulgación de la vulnerabilidad el día anterior.

Veria AI, un sistema de detección de vulnerabilidades desarrollado por la empresa de seguridad Veria Labs, ayudó a descubrir el problema a través del programa de recompensas por errores de la red, que premia a los investigadores por informar de puntos débiles. Akinyele declaró:

«El error llevaba más de una década presente en el código fuente y podría haber permitido la creación de XRP más allá de su suministro fijo».

Esa posible creación de tokens no autorizados ponía en peligro el límite establecido cuando se crearon los 100 000 millones de XRP al inicio de la red. El sistema de transacciones del XRP Ledger se basa en que los validadores se pongan de acuerdo sobre la validez y el orden de los pagos, en lugar de minar nuevas monedas. Akinyele explicó que los desarrolladores probaron a fondo el parche y coordinaron actualizaciones rápidas con dichos operadores antes de hacer público el hallazgo.

Cómo el error podría haber generado XRP no autorizados

El motor de pagos podía calcular incorrectamente los importes adeudados en ofertas comerciales diseñadas específicamente, lo que permitía a los vendedores recibir más XRP de lo que el comprador había pagado. El fallo de desbordamiento del motor de pagos consistía en que las operaciones aritméticas superaban su límite numérico y devolvían un total incorrectamente pequeño. La corrección se lanzó el 25 de septiembre en xrpld 3.4.1, una versión del software de servidor que procesa las transacciones y mantiene los registros del libro mayor. Los investigadores no encontraron pruebas de que se hubiera aprovechado la vulnerabilidad en la red pública.

Este descubrimiento también ha reforzado el interés de Ripple por la inteligencia artificial y la necesidad de identificar las vulnerabilidades con mayor rapidez. El ejecutivo de Ripple destacó:

«La IA está cambiando radicalmente la rapidez con la que se pueden descubrir las vulnerabilidades».

Su respuesta aboga por programas de recompensas más sólidos, búsquedas ampliadas asistidas por IA y pruebas adversarias, que simulan ataques para poner de manifiesto los defectos. Un «equipo rojo» interno, formado por especialistas que llevan a cabo ataques controlados, respalda este trabajo.

Esas prioridades se basan en los esfuerzos proactivos de Ripple en materia de seguridad mediante IA, que incluyen el análisis y la revisión de código con el fin de detectar problemas en fases más tempranas del desarrollo. En colaboración con investigadores externos y la Fundación XRPL, el equipo revisará supuestos arraigados en materia de pagos, acuerdo de transacciones y comunicación entre servidores. Una evaluación actualizada de las amenazas potenciales guiará dichos análisis.

Ripple se centra en riesgos más allá de los errores individuales

Ripple también pretende acelerar las comprobaciones matemáticas mediante su colaboración con Common Prefix, una empresa de investigación y desarrollo de blockchain, y la Fundación XRPL. Su trabajo aplica la verificación formal al software del XRP Ledger para evaluar si el comportamiento modelado sigue las reglas definidas. Akinyele explicó que este enfoque podría sacar a la luz problemas más profundos que otros métodos de prueba podrían pasar por alto.

El trabajo de verificación ya realizado sobre el protocolo de préstamos y la «Single Asset Vault» servirá de base para esa ampliación. El diseño del protocolo de préstamos de XRPL gestionaría los préstamos y los reembolsos en el libro mayor, mientras que las evaluaciones de los prestatarios se llevarían a cabo fuera de él. La disponibilidad en la red principal depende de la activación de las modificaciones necesarias, es decir, de los cambios en las reglas de la red aprobados por los validadores.

La caja fuerte relacionada está diseñada para agrupar un tipo de activo de los depositantes, lo que permite crear fondos comunes de capital institucional en XRPL para préstamos y otras funciones. Akinyele vinculó el creciente uso de la infraestructura financiera a una mayor responsabilidad y se comprometió a seguir invirtiendo junto con la comunidad. Destacó:

«Nuestro objetivo no es simplemente encontrar más errores. Se trata de abordar de forma sistemática los riesgos subyacentes y hacer que la XRPL sea más difícil de explotar».