A Ripple responde a um grave bug no XRP que ameaçava a oferta fixa

Ripple responde a uma ameaça ao fornecimento fixo do XRP

Uma falha crítica poderia ter permitido a criação não autorizada de XRP, levando a Ripple a reforçar a segurança em todo o XRP Ledger (XRPL). J. Ayo Akinyele, diretor sênior de engenharia da RippleX — divisão da Ripple responsável pelo desenvolvimento da blockchain pública —, detalhou a resposta e as prioridades de segurança no X em 10 de outubro, após a divulgação da vulnerabilidade no dia anterior.

O Veria AI, um sistema de detecção de vulnerabilidades desenvolvido pela empresa de segurança Veria Labs, ajudou a descobrir o problema por meio do programa de recompensa por bugs da rede, que recompensa pesquisadores por relatarem falhas. Akinyele afirmou:

“O bug existia na base de código há mais de uma década e poderia ter permitido a criação de XRP além de seu suprimento fixo.”

Essa potencial criação de tokens não autorizados ameaçava um limite estabelecido quando todos os 100 bilhões de XRP foram criados no início da rede. O sistema de transações do XRP Ledger depende de validadores que concordam com a validade e a ordem dos pagamentos, em vez de minerar novas moedas. Akinyele descreveu que os desenvolvedores testaram exaustivamente o patch e coordenaram atualizações rápidas com esses operadores antes da divulgação pública.

Como o bug poderia ter criado XRP não autorizados

O mecanismo de pagamentos poderia calcular incorretamente os valores devidos em ofertas de negociação especialmente criadas, permitindo que os vendedores recebessem mais XRP do que o comprador pagou. A falha de estouro do mecanismo de pagamentos envolvia cálculos aritméticos que excediam seu limite numérico e retornavam um total incorretamente baixo. A correção foi lançada em 25 de setembro no xrpld 3.4.1, uma versão do software de servidor que processa transações e mantém registros do livro-razão. Os investigadores não encontraram evidências de exploração na rede pública.

A descoberta também intensificou o foco da Ripple na inteligência artificial e na necessidade de identificar pontos fracos mais rapidamente. O executivo da Ripple enfatizou:

“A IA está mudando fundamentalmente a rapidez com que as vulnerabilidades podem ser descobertas.”

Sua resposta apela por programas de recompensa mais robustos, buscas ampliadas com auxílio de IA e testes adversariais, que simulam ataques para expor defeitos. Uma equipe interna de simulação de ataques, composta por especialistas que conduzem ataques controlados, dá suporte a esse trabalho.

Essas prioridades se baseiam nos esforços proativos de segurança em IA da Ripple, incluindo varreduras e revisões de código destinadas a detectar problemas em estágios mais iniciais do desenvolvimento. Trabalhando com pesquisadores externos e a Fundação XRPL, a equipe revisitará suposições de longa data em pagamentos, acordos de transação e comunicação entre servidores. Uma avaliação atualizada das ameaças potenciais orientará essas análises.

A Ripple tem como alvo riscos além de bugs individuais

A Ripple também pretende acelerar as verificações matemáticas por meio de sua colaboração com a Common Prefix, uma empresa de pesquisa e desenvolvimento de blockchain, e com a Fundação XRPL. O trabalho deles aplica verificação formal ao software do XRP Ledger para avaliar se o comportamento modelado segue as regras definidas. Akinyele explicou que essa abordagem poderia revelar problemas mais profundos que outros métodos de teste poderiam deixar passar.

O trabalho de verificação já em andamento no Protocolo de Empréstimo e no Single Asset Vault servirá de base para essa expansão. O projeto do protocolo de empréstimo da XRPL administraria empréstimos e pagamentos no ledger, enquanto as avaliações dos tomadores de empréstimo ocorreriam fora dele. A disponibilidade da mainnet depende da ativação das alterações necessárias, ou seja, mudanças nas regras da rede aprovadas pelos validadores.

O cofre relacionado foi projetado para reunir um tipo de ativo dos depositantes, apoiando fundos institucionais na XRPL para empréstimos e outras funções. Akinyele associou o uso crescente da infraestrutura financeira a uma maior responsabilidade e se comprometeu a continuar investindo na comunidade. Ele enfatizou:

“Nosso objetivo não é simplesmente encontrar mais bugs. É abordar sistematicamente os riscos subjacentes e tornar a XRPL mais difícil de ser explorada.”