リップル、供給量固定を脅かすXRPの重大バグに対応

XRPの固定供給量に対する脅威へのリップルの対応

この重大な欠陥により、不正なXRPが生成される恐れがあったため、リップルはXRPレジャー（XRPL）全体のセキュリティ強化に乗り出しました。 パブリックブロックチェーンの開発を支援するリップルの部門「RippleX」のエンジニアリング担当シニアディレクター、J. Ayo Akinyele氏は、前日にこの脆弱性が公表されたことを受け、10月10日にX上で対応策とセキュリティ上の優先事項について説明しました。

この問題の発見には、セキュリティ企業Veria Labsが開発した脆弱性検出システム「Veria AI」が寄与しました。同システムは、脆弱性を報告した研究者に報奨金を支払うネットワークのバグ報奨金プログラムを通じて発見に貢献しました。Akinyele氏は次のように述べました。

「このバグは10年以上にわたりコードベースに存在しており、XRPの固定供給量を超えてXRPが生成される可能性がありました。」

この不正トークン生成の可能性は、ネットワーク開始時に1,000億XRPがすべて発行されたことで設定された上限を脅かすものでした。 XRPレジャーは新たなコインをマイニングするのではなく、バリデーターが支払いの有効性と順序について合意することで取引を成立させる仕組みです。アキニエレ氏は、公開前に開発者がパッチを徹底的にテストし、オペレーターと連携して迅速にアップグレードを実施したと説明しました。

このバグがどのように不正なXRPを生成し得たか

決済エンジンは特別に構成された取引オファーにおいて支払額を誤って計算し、売り手が買い手が支払った額よりも多くのXRPを受け取れる可能性がありました。この決済エンジンのオーバーフローの欠陥は、演算が数値の限界を超え、誤って小さすぎる合計値を返すというものでした。 この修正は、取引を処理し台帳記録を維持するサーバーソフトウェアのリリースであるxrpld 3.4.1として、9月25日に公開されました。調査チームは、パブリックネットワーク上でこの脆弱性が悪用された形跡は見つかりませんでした。

この発見を受け、リップルは人工知能（AI）への投資を強化し、脆弱性をより迅速に特定する必要性を再認識しました。リップルの幹部は次のように強調しました。

「AIは脆弱性を発見できるスピードを根本的に変えつつあります。」

同氏は、より充実した報奨金プログラム、AIを活用した検索の拡大、攻撃をシミュレートして欠陥を暴く「敵対的テスト」の実施を求めています。制御された攻撃を行う専門家で構成される社内のレッドチームが、この取り組みを支援しています。

これらの優先事項は、開発の早期段階で問題を検出することを目的としたコードスキャンやレビューなど、リップルの積極的なAIセキュリティへの取り組みを基盤としています。外部の研究者やXRPL財団と協力し、チームは決済、取引の合意形成、サーバー間の通信における長年の前提を見直す予定です。潜在的な脅威に関する最新の評価が、これらの検証の指針となります。

リップルは個々のバグを超えたリスクに焦点を当てる

また、リップルはブロックチェーン研究開発企業のCommon PrefixおよびXRPL財団との協業を通じて、数学的検証を加速させる意向です。彼らの取り組みでは、XRPレジャーソフトウェアに形式検証を適用し、モデル化された挙動が定義されたルールに従っているかを評価します。アキニエレ氏は、このアプローチにより、他のテスト手法では見落とされがちなより根本的な問題を発見できる可能性があると説明しました。

レンディング・プロトコルとシングル・アセット・ヴォールトに関する既存の検証作業が、この拡大に向けた指針となります。XRPLのレンディング・プロトコルでは、貸付と返済は台帳上で処理される一方、借り手の審査は台帳外で行われます。メインネットでの利用可能性は、必要な修正、すなわちバリデーターによって承認されたネットワーク規則の変更が有効化されるかどうかに依存します。

関連するヴォールトは、預金者から1種類の資産を集約するように設計されており、XRPL上での貸付やその他の機能に向けた機関投資家の資本プールを支援するものです。アキニエレ氏は、金融インフラの利用拡大に伴う責任の増大に言及し、コミュニティへの継続的な投資を約束しました。同氏は次のように強調しました。

「私たちの目標は、単にバグをさらに見つけることではありません。根本的なリスクに体系的に対処し、XRPLを悪用されにくくすることです。」