Fix voor XRP Ledger-lek bij tokenuitgifte wordt morgen ingevoerd

Een hardnekkige maas in de wet dichten

Het XRP Ledger (XRPL) staat op het punt om een fout in een van zijn nieuwste functies te verhelpen, waarmee een maas in de wet wordt gedicht die er anders toe zou kunnen leiden dat accounts die bevoegd zijn om tokens te vernietigen, ook nieuwe tokens zouden kunnen uitgeven.

Het probleem zit in de delegatie van rechten, waarmee een account specifieke bevoegdheden aan een ander account kan toekennen zonder zijn sleutels te delen. Die functie werd op 8 oktober in gebruik genomen via het PermissionDelegationV1_1-amendement, een upgrade waarover Bitcoin.com News vorige maand berichtte. Een van die bevoegdheden, PaymentBurn, is bedoeld om een gedelegeerde in staat te stellen tokens te vernietigen.

De eigen documentatie van het XRPL over het delegeren van bevoegdheden beschrijft het probleem als volgt:

"Vóór de oplossing kon een gedelegeerde met de gedetailleerde machtiging PaymentBurn ook nieuwe fungibele tokens slaan, wat onder bepaalde omstandigheden kan gebeuren met trust line-tokens of multifunctionele tokens (MPT’s). Totdat het amendement fixCleanup3_4_0 is ingeschakeld, wordt aanbevolen om de gedetailleerde machtiging PaymentBurn niet te delegeren."

Het is vermeldenswaard dat andere rechten hierdoor niet worden beïnvloed.

De oplossing wordt meegeleverd in xrpld 3.4.0, dat in de release-opmerkingen wordt beschreven als een bundeling van opschoningen voor de 3.4.0-release. Een van de maatregelen is dat "PaymentBurn-betalingen die een saldo van nul overschrijden, worden geweigerd." Het pakket verscherpt ook de terugvorderingen van geautomatiseerde marktmakers (AMM), de boekhouding van de kluis, de escrow-reserves en de afhandeling van handtekeningen, en node-beheerders werd gevraagd om “zo snel mogelijk” te upgraden.

Een deadline die niet werd gehaald

De patch had eigenlijk al live moeten zijn. Wijzigingen op de XRPL worden pas geactiveerd nadat ze gedurende twee opeenvolgende weken ten minste 80% steun hebben gekregen van vertrouwde validators. Als de steun ook maar één keer daalt tot 80% of lager, wordt de klok gereset. Half oktober was de upgrade gepland voor 23 oktober om ongeveer 09:34 UTC. Die datum kwam en ging voorbij, en uit de huidige gegevens op de amendemententracker van Xrpscan blijkt dat fixCleanup3_4_0 zijn meerderheid heeft herwonnen. De steun bedraagt nu 33 van de 35 validators, ruim boven de benodigde 28.

Native Lending heeft nog steeds te weinig stemmen

Andere in behandeling zijnde upgrades lopen nog verder achter, en dezelfde tracker laat zien dat LendingProtocolV1_1 19 stemmen heeft, het oorspronkelijke LendingProtocol-amendement 19 en SingleAssetVault 21, allemaal onder de drempel van 28 stemmen. Samen zouden ze native lending naar het XRPL brengen, maar voor geen van deze amendementen loopt er een aftelling.

Daardoor blijven de kredietplannen van het ledger in de wacht staan, zelfs nu instellingen meer activiteit naar het netwerk verplaatsen. De RLUSD-stablecoin van Ripple kreeg bijvoorbeeld onlangs steun van Coinbase op het XRPL en andere ketens.

Een druk seizoen voor de beveiliging van het XRPL

De oplossing vormt de afsluiting van een paar moeilijke weken voor de beveiligingsreputatie van het netwerk, aangezien ontwikkelaars vorige maand onthulden dat een tien jaar oude bug in het ledger een aanvaller in staat had kunnen stellen om meer XRP te minten dan de vaste voorraad. Die fout werd in september stilletjes verholpen en er zijn geen aanwijzingen dat er ooit misbruik van is gemaakt.

XRP werd ook als eerste getroffen bij de recente Binance-hack, hoewel die aanval gericht was op de wallets van Binance en niet op het XRPL zelf.

Wat de oplossing betreft, verandert er niets voor gewone XRP-houders, maar wel voor uitgevers, beurzen en bedrijven die accountrechten delegeren. Zodra fixCleanup3_4_0 actief is, zou het weer veilig moeten zijn om PaymentBurn te delegeren. XRP noteert op 3 november, in de aanloop naar de upgrade, rond de 1,25 dollar.