Ledger XRP: corretta falla emissione token, aggiornamento domani

Risolvere una scappatoia persistente

L’XRP Ledger (XRPL) è a un giorno dal risolvere una falla legata a una delle sue funzionalità più recenti, chiudendo una scappatoia che altrimenti potrebbe consentire agli account autorizzati a bruciare token di emetterne anche di nuovi. Il problema risiede nella delega dei permessi, che consente a un account di trasferire poteri specifici a un altro account senza condividere le proprie chiavi. Tale funzionalità è stata attivata l’8 ottobre tramite l’emendamento PermissionDelegationV1_1, un aggiornamento di cui Bitcoin.com News ha parlato il mese scorso. Uno di questi poteri, PaymentBurn, ha lo scopo di consentire a un delegato di distruggere i token. La stessa documentazione dell’XRPL sulla delega dei permessi illustra chiaramente il problema:

«Prima della correzione, un delegato in possesso dell’autorizzazione granulare PaymentBurn poteva anche coniare nuovi token fungibili, cosa che in determinate circostanze può verificarsi con i token “trust line” o i token multiuso (MPT). Fino all’attivazione dell’emendamento fixCleanup3_4_0, si raccomanda di non delegare l’autorizzazione granulare PaymentBurn.»

Vale la pena sottolineare che le altre autorizzazioni non subiscono alcuna modifica. La correzione è inclusa nella versione xrpld 3.4.0, che le note di rilascio descrivono come un pacchetto di pulizie per la versione 3.4.0. Tra le altre cose, essa «rifiuta i pagamenti PaymentBurn che superano un saldo pari a zero». Il pacchetto rafforza inoltre i clawback degli automated market maker (AMM), la contabilità dei vault, le riserve di deposito a garanzia e la gestione delle firme; agli operatori dei nodi è stato chiesto di effettuare l’aggiornamento «il prima possibile».

Una scadenza non rispettata

La patch avrebbe già dovuto essere attiva. Le modifiche sull’XRPL si attivano solo dopo aver mantenuto un sostegno di almeno l’80% da parte dei validatori fidati per due settimane consecutive. Se il sostegno scende all’80% o al di sotto anche solo una volta, il conteggio riparte da zero. A metà ottobre, l’aggiornamento era previsto per il 23 ottobre alle 09:34 UTC circa. Quella data è trascorsa, e i dati attuali sul tracker degli emendamenti di Xrpscan mostrano che fixCleanup3_4_0 ha riottenuto la maggioranza. Il sostegno si attesta ora a 33 validatori su 35, ben al di sopra dei 28 necessari.

Native Lending ancora a corto di voti

Altri aggiornamenti in sospeso sono ancora più indietro, e lo stesso tracker mostra LendingProtocolV1_1 con 19 voti, l’emendamento originale LendingProtocol con 19 e SingleAssetVault con 21, tutti al di sotto della soglia dei 28 voti. Insieme, questi aggiornamenti introdurrebbero il prestito nativo nell’XRPL, ma nessuno di essi ha un conto alla rovescia in corso. Ciò lascia in sospeso i piani di prestito del ledger, anche se le istituzioni stanno aumentando l’attività sulla rete. La stablecoin RLUSD di Ripple, ad esempio, ha recentemente ottenuto il supporto di Coinbase sull’XRPL e su altre catene.

Una stagione intensa per la sicurezza dell’XRPL

La correzione conclude alcune settimane difficili per la sicurezza della rete, dato che il mese scorso gli sviluppatori hanno rivelato che un bug del ledger risalente a un decennio fa avrebbe potuto consentire a un malintenzionato di coniare XRP oltre la sua offerta fissa. Tale vulnerabilità è stata corretta in sordina a settembre e non vi sono prove che sia mai stata sfruttata.

L’XRP è stato inoltre il primo a subire le conseguenze del recente attacco hacker a Binance, sebbene tale attacco fosse diretto ai portafogli di Binance piuttosto che alla stessa XRPL.

Per quanto riguarda la correzione, nulla cambia per i normali possessori di XRP, ma per gli emittenti, gli exchange e le aziende che delegano le autorizzazioni degli account. Una volta attivato fixCleanup3_4_0, dovrebbe essere nuovamente sicuro delegare PaymentBurn. Il 3 novembre, in vista dell’aggiornamento, XRP viene scambiato a circa 1,25 dollari.