Исправление лазейки при выпуске токенов в XRP Ledger внедрят завтра

Устранение сохраняющейся лазейки

XRP Ledger (XRPL) остаётся один день до устранения уязвимости, связанной с одной из его новейших функций, что позволит закрыть лазейку, которая в противном случае могла бы позволить счетам, уполномоченным сжигать токены, также выпускать новые.

Проблема кроется в механизме делегирования прав, который позволяет одному счету передавать определённые полномочия другому счету без раскрытия своих ключей. Эта функция была запущена 8 октября в рамках поправки PermissionDelegationV1_1, обновления, о котором Bitcoin.com News сообщал в прошлом месяце. Одно из этих полномочий, PaymentBurn, предназначено для того, чтобы делегат мог уничтожать токены.

В собственной документации XRPL по делегированию прав четко сформулирована проблема:

«До исправления делегат, обладающий детализированным разрешением PaymentBurn, мог также чеканить новые взаимозаменяемые токены, что в определенных обстоятельствах могло происходить с токенами trust line или многоцелевыми токенами (MPT). До тех пор, пока не будет включена поправка fixCleanup3_4_0, рекомендуется не делегировать детализированное разрешение PaymentBurn».

Стоит отметить, что другие разрешения остаются без изменений.

Исправление включено в версию xrpld 3.4.0, которая, согласно примечаниям к выпуску, представляет собой набор исправлений для версии 3.4.0. Среди прочего, оно «отклоняет платежи PaymentBurn, при которых баланс становится нулевым». Пакет также ужесточает требования к возврату средств автоматизированными маркет-мейкерами (AMM), учету в хранилищах, резервам эскроу и обработке подписей; операторам узлов было рекомендовано выполнить обновление «как можно скорее».

Срок, который не был соблюдён

Патч уже должен был быть запущен. Поправки в XRPL вступают в силу только после того, как в течение двух недель подряд они наберут поддержку не менее 80 % доверенных валидаторов. Если поддержка хотя бы один раз опускается до 80 % или ниже, отсчёт времени сбрасывается. В середине октября обновление было запланировано на 23 октября примерно в 09:34 по UTC. Эта дата прошла, и текущие данные трекера поправок Xrpscan показывают, что fixCleanup3_4_0 вновь набрало большинство голосов. В настоящее время поддержку оказывают 33 из 35 валидаторов, что значительно превышает необходимые 28.

Нативному Lending по-прежнему не хватает голосов

Другие ожидающие обновления отстают ещё больше, и тот же трекер показывает, что LendingProtocolV1_1 набрал 19 голосов, исходная поправка LendingProtocol — 19, а SingleAssetVault — 21; все эти показатели ниже порога в 28 голосов. В совокупности они позволили бы внедрить нативный механизм кредитования в XRPL, но ни у одного из них не запущен обратный отсчет.

В результате планы по внедрению механизма кредитования в реестре остаются в подвешенном состоянии, даже несмотря на то, что институциональные игроки активно расширяют свою деятельность в сети. Например, стейблкоин RLUSD от Ripple недавно получил поддержку Coinbase как в XRPL, так и в других цепочках.

Напряжённый период для безопасности XRPL

Это исправление ставит точку под несколькими тяжелыми неделями для репутации сети в плане безопасности, учитывая, что в прошлом месяце разработчики раскрыли, что существовавшая на протяжении десятилетия ошибка в реестре могла позволить злоумышленнику чеканить XRP сверх установленного лимита предложения. Эта уязвимость была незаметно исправлена в сентябре, и нет никаких доказательств того, что ею когда-либо воспользовались.

XRP также первым пострадал в результате недавнего взлома Binance, хотя эта атака была направлена на кошельки Binance, а не на саму сеть XRPL.

Что касается исправления, для обычных держателей XRP ничего не меняется, но для эмитентов, бирж и компаний, делегирующих права доступа к счетам, ситуация изменится. Как только fixCleanup3_4_0 вступит в силу, делегирование PaymentBurn снова станет безопасным. На 3 ноября, в преддверии обновления, XRP торгуется на уровне около 1,25 доллара.