XRP Ledger wdrożył poprawkę usuwającą lukę, która w określonych okolicznościach mogła pozwolić uprawnionemu podmiotowi nie tylko niszczyć tokeny, lecz także tworzyć nowe. Zmiana dotyczyła mechanizmu delegowania uprawnień i obejmowała tokeny emitowane w sieci, w tym stablecoiny. Sam XRP nie był zagrożony, a publicznie nie potwierdzono wykorzystania błędu.
Luka w systemie uprawnień
Delegowanie uprawnień pozwala właścicielowi konta powierzyć innemu podmiotowi wykonywanie wybranych operacji bez przekazywania mu pełnej kontroli. Przykładowo emitent stablecoina może zezwolić operatorowi płatności na niszczenie tokenów zwracanych przy wymianie na dolary, ale nie na ich emisję.
W poprzedniej wersji zasad takie ograniczone uprawnienie mogło w pewnych sytuacjach umożliwić również tworzenie tokenów. Wdrożona poprawka rozdziela te działania, tak aby dostęp do niszczenia aktywów nie dawał jednocześnie możliwości ich emisji.
Rozdzielenie uprawnień do niszczenia i emisji tokenów ma istotne znaczenie dla bezpieczeństwa sieci. Ogranicza ryzyko związane z delegowaniem zadań zewnętrznym podmiotom. To ważna zmiana szczególnie dla emitentów stablecoinów.
Poprawka już działa
Zmiana o nazwie fixCleanup3_4_0 została aktywowana w środę, 4 listopada, o 14:52 UTC. Stało się to na poziomie księgi 108 112 129, po uzyskaniu wymaganej akceptacji walidatorów.
Proces aktywacji wcześniej się opóźnił, ponieważ w październiku poparcie dla poprawki nie utrzymało się przez wymagany okres. Zmiany w XRP Ledger wchodzą w życie po uzyskaniu głosów ponad 80 proc. zaufanych walidatorów przez 14 kolejnych dni.
Przeczytaj także: Ripple zdobywa kluczowe zezwolenie na stablecoin RLUSD w Zjednoczonych Emiratach Arabskich.
Szerszy zakres aktualizacji
Wydanie zawiera także poprawki związane z planowanym systemem pożyczek oraz Single Asset Vaults, czyli pulami, do których użytkownicy będą mogli wpłacać aktywa wykorzystywane przy udzielaniu pożyczek. Korekty obejmują między innymi sposób rozliczania wpłat i wypłat z takich pul oraz klasyfikowania zaległych zobowiązań.
Pozostałe zmiany dotyczą odzyskiwania tokenów z automatycznych pul handlowych, handlu z ograniczonymi uprawnieniami i podpisywania transakcji. Aktualizacja usuwa więc nie tylko opisaną lukę, ale też wprowadza szereg usprawnień dla innych funkcji sieci.
Ta luka brzmi jak klasyczny problem z uprawnieniami „prawie dobrze”. Jak system pozwala komuś tylko palić tokeny, a przez obejście dostaje też mint, to coś tu było skopane od podstaw. Dobrze, że poprawili, ale przy stablecoinach takie rzeczy powinny być wyłapywane wcześniej.
Niby „sam XRP nie był zagrożony”, ale dla całego ekosystemu to i tak słaba historia. Jak ktoś emituje tokeny na tej sieci, to zaufanie do mechanizmu uprawnień dostaje po łbie. I znowu wychodzi, że bezpieczeństwo to nie marketing, tylko audyt i testy przypadków brzegowych.
Zawiesiło się to na walidatorach, czyli typowa centralizacja przez głosowanie zaufanych podmiotów. Formalnie 80 proc., praktycznie wąskie grono decyduje kiedy poprawka wchodzi. Dla mnie to bardziej przypomina zarządzany system księgowy niż jakąś „pełną decentralizację”.
Mam wrażenie, że artykuł trochę upraszcza temat. Jeśli mowa o delegowaniu uprawnień, to kluczowe jest rozróżnienie capability do burn i mint po stronie obiektu issuance, a nie samo „uprawniony podmiot”. W takich systemach jeden zły edge case i potem masz dziury w modelu autoryzacji, nawet jeśli core ledger działa poprawnie.
No to ciekawe ile jeszcze takich „poprawek” siedzi pod spodem. Sam proces z 14 dniami i 80% brzmi rozsądnie, ale jak już raz trzeba było łatać coś takiego, to raczej nie ufałabym bezgranicznie emisji stablecoinów na tej sieci.
To bardziej wygląda na bug w logice cleanup niż na spektakularny exploit, ale skutki mogły być fatalne. Dobrze, że nie ma potwierdzenia użycia, tylko w takich systemach brak dowodu nie oznacza braku nadużyć. Jeśli ktoś miał dostęp do delegowanego burn, to zapewne dało się to zautomatyzować zanim w ogóle ktoś zauważył.