Ripple реагує на критичну помилку в XRP, що загрожувала ліміту пропозиції

Ripple реагує на загрозу фіксованому обсягу XRP

Критична вразливість могла дозволити несанкціоноване створення XRP, що спонукало Ripple посилити безпеку в XRP Ledger (XRPL). Дж. Айо Акіньєле, старший директор з інженерних питань у RippleX — підрозділі Ripple, що підтримує розвиток публічного блокчейну, — 10 жовтня виклав на X заходи реагування та пріоритети безпеки після того, як напередодні було оприлюднено інформацію про цю вразливість.

Veria AI — система виявлення вразливостей, розроблена компанією з безпеки Veria Labs, — допомогла виявити проблему завдяки програмі винагороди за виявлення помилок у мережі, яка винагороджує дослідників за повідомлення про слабкі місця. Акіньєле заявив:

«Ця помилка існувала в коді понад десятиліття і могла дозволити створення XRP понад встановлений ліміт».

Таке потенційне створення несанкціонованих токенів загрожувало ліміту, встановленому під час створення всіх 100 мільярдів XRP на початку існування мережі. Система транзакцій XRP Ledger базується на узгодженні валідаторами дійсності та порядку платежів, а не на майнінгу нових монет. Акіньєле розповів, що розробники ретельно протестували виправлення та координували оперативне оновлення з цими операторами перед публічним оприлюдненням.

Як помилка могла призвести до створення несанкціонованих XRP

Механізм обробки платежів міг неправильно розраховувати суми до сплати у спеціально сконструйованих торгових пропозиціях, що дозволяло продавцям отримувати більше XRP, ніж заплатив покупець. Помилка переповнення механізму обробки платежів полягала в тому, що арифметичні обчислення перевищували числовий ліміт і повертали неправильно малу загальну суму. Виправлення було випущено 25 вересня у версії xrpld 3.4.1 — випуску серверного програмного забезпечення, яке обробляє транзакції та веде облік у реєстрі. Дослідники не виявили жодних доказів зловживання цією вразливістю у публічній мережі.

Це відкриття також підштовхнуло компанію Ripple до ще більшої концентрації уваги на штучному інтелекті та необхідності швидшого виявлення вразливостей. Керівник Ripple наголосив:

«ШІ кардинально змінює швидкість виявлення вразливостей».

Його відповідь передбачає посилення програм винагород, розширення пошуків за допомогою ШІ та проведення тестувань під час атак, які імітують атаки для виявлення дефектів. Цю роботу підтримує внутрішня «червона команда», що складається зі спеціалістів, які проводять контрольовані атаки.

Ці пріоритети ґрунтуються на проактивних заходах Ripple у сфері безпеки на основі штучного інтелекту, зокрема на скануванні та перевірці коду, спрямованих на виявлення проблем на ранніх етапах розробки. Співпрацюючи з зовнішніми дослідниками та Фондом XRPL, команда перегляне усталені припущення щодо платежів, узгодження транзакцій та комунікації між серверами. Оновлена оцінка потенційних загроз стане орієнтиром для цих досліджень.

Ripple націлена на ризики, що виходять за межі окремих помилок

Ripple також має намір прискорити математичні перевірки завдяки співпраці з Common Prefix — компанією, що займається дослідженнями та розробками у сфері блокчейну, — та Фондом XRPL. Їхня робота передбачає застосування формальної верифікації до програмного забезпечення XRP Ledger для оцінки того, чи відповідає змодельована поведінка визначеним правилам. Акіньєле пояснив, що такий підхід може виявити глибші проблеми, які інші методи тестування можуть пропустити.

Існуюча робота з верифікації протоколу кредитування та сховища Single Asset Vault стане основою для цього розширення. Протокол кредитування XRPL буде обробляти кредити та погашення в реєстрі, тоді як оцінка позичальників відбуватиметься поза ним. Доступність мейннету залежить від активації необхідних поправок або змін правил мережі, затверджених валідаторами.

Відповідний сховище призначене для об’єднання одного виду активів від вкладників, підтримуючи інституційні пули капіталу на XRPL для кредитування та інших функцій. Акіньєле пов’язав зростаюче використання фінансової інфраструктури з більшою відповідальністю та пообіцяв продовжувати інвестувати разом із спільнотою. Він наголосив:

«Наша мета полягає не просто в тому, щоб знайти більше помилок. Вона полягає в тому, щоб систематично усувати приховані ризики та ускладнити можливість зловживання XRPL».