XRP Ledger активировал обновление программного обеспечения, которое закрывает уязвимость, позволявшую аккаунтам с разрешением уничтожать выпущенные токены создавать новые при определённых условиях, не затрагивая при этом нативную криптовалюту XRP.
Краткое содержание
- XRP Ledger активировал поправку fixCleanup3_4_0 4 ноября в 14:52 UTC на реестре 108 112 129.
- Обновление закрывает уязвимость в системе разрешений, которая могла позволить аккаунту, уполномоченному сжигать выпущенные токены, создавать новые токены при определённых условиях.
- Уязвимость касалась выпущенных активов, включая стейблкоины и Multi-Purpose Tokens, а не нативной эмиссии XRP.
- Поддержка валидаторов 21 октября кратковременно опустилась ниже требуемого порога, что перезапустило обязательный 14-дневный период одобрения.
- Поправка включает исправления для торговых пулов, учёта хранилищ и подписания транзакций, но не активирует самостоятельно запланированную кредитную систему XRP Ledger.
Трекер поправок XRPLWin подтвердил, что исправление под названием fixCleanup3_4_0 вступило в силу 4 ноября в 14:52 UTC на реестре 108 112 129. Активация последовала после двух последовательных недель поддержки валидаторов после кратковременного перерыва в октябре, который вынудил сеть перезапустить процесс одобрения.
Исправление устраняет недостаток в системе делегирования разрешений XRP Ledger, которая позволяет владельцам аккаунтов уполномочивать другие аккаунты выполнять определённые транзакции, не передавая полный контроль.
XRP Ledger исправляет уязвимость несанкционированного создания токенов
Уязвимость затрагивала делегированное разрешение под названием PaymentBurn, которое позволяет одобренному аккаунту уничтожать токены, выпущенные другим аккаунтом.
В обычных обстоятельствах эмитент мог предоставить это разрешение платёжному сервису, занимающемуся погашением стейблкоинов. Когда клиент обменивает стейблкоины на доллары, сервис мог уничтожать погашенные токены, не получая разрешения на создание замены.
Однако предыдущие правила транзакций XRP Ledger могли позволить аккаунту, имеющему только авторизацию PaymentBurn, создавать выпущенные токены при определённых условиях.
Проблема возникала, когда платежи с использованием делегированного разрешения пересекали границу нулевого баланса. Последняя поправка предотвращает пересечение транзакциями этой границы, отделяя уничтожение токенов от их выпуска.
Официальные примечания к выпуску XRPL описывают исправление как отклонение «платежей PaymentBurn, пересекающих нулевой баланс».
Уязвимость затрагивала активы, выпущенные в сети, включая стейблкоины, токены доверительных линий и Multi-Purpose Tokens. Сам XRP находился вне затронутой системы разрешений, что означает, что недостаток не позволял несанкционированно создавать нативную криптовалюту сети.
Публично подтверждённых случаев эксплуатации уязвимости не сообщалось, и доступные раскрытия не указывают на эмитента, пострадавшего от несанкционированного создания токенов.
Исправление следует за ранее раскрытым недостатком создания токенов в сети, о котором crypto.news сообщал 2 ноября, когда поправка всё ещё ожидала активации.
Задержка одобрения валидаторами отодвинула исправление на ноябрь
Хотя разработчики включили исправление в версию сервера XRP Ledger 3.4.0 в сентябре, его выпуск не изменил правила транзакций сети немедленно.
Поправки протокола требуют поддержки более 80% доверенных валидаторов в течение 14 последовательных дней, прежде чем они станут активными.
При 35 валидаторах в отслеживаемом списке по умолчанию как минимум 29 должны поддерживать поправку на протяжении всего этого периода.
Первый период одобрения начался 9 октября, что ставило обновление на путь активации примерно 23 октября.
Однако поддержка валидаторов 21 октября опустилась ниже требуемого порога, прервав обратный отсчёт до того, как поправка стала доступной для активации.
Записи XRPLWin показывают, что первая попытка длилась 12 дней и три часа. Новое большинство было установлено позже 21 октября, начав ещё один двухнедельный период ожидания.
Вторая попытка длилась 14 дней и пять минут, прежде чем сеть включила поправку 4 ноября.
Процесс голосования в XRP Ledger требует непрерывной поддержки, поэтому даже временное снижение ниже порога может отложить обновление.
Обновление программного обеспечения исправляет механизмы контроля торговли и транзакций
Помимо уязвимости, связанной с созданием токенов, fixCleanup3_4_0 вносит исправления в ряд функций транзакций XRP Ledger.
Среди них — изменения в механизмах отзыва средств автоматическими маркет-мейкерами, которые эмитенты используют для возврата определённых активов из пулов ликвидности.
Обновление предотвращает уничтожение токенов поставщика ликвидности транзакцией в случаях, когда округление расчётов иначе привело бы к тому, что эмитент не получил бы никаких базовых активов.
Разработчики исправили правила разрешённой торговли, чтобы счета не могли получать определённые токены через предложения, когда ограничения эмитента должны блокировать такие транзакции.
Отдельные изменения касаются резервов эскроу, авторизации токенов Multi-Purpose и подписей транзакций.
Ранее некоторые процедуры подписания использовали пересекающиеся структуры авторизации. Поправка вводит отдельные префиксы подписания, чтобы подписи, предназначенные для одной роли транзакции, не могли быть повторно использованы в другой.
Эти исправления были включены в сентябрьский выпуск программного обеспечения, при этом разработчики призывали операторов серверов обновить своё программное обеспечение до вступления новых правил в силу.
Кредитование в XRP Ledger по-прежнему требует отдельного одобрения
Активация включает бухгалтерские исправления, предназначенные для Single Asset Vaults и предложенного протокола кредитования XRP Ledger.
Система хранилищ позволила бы пользователям вносить активы в пулы, которые могли бы поддерживать срочные кредиты. Разработчики скорректировали расчёты, связанные с депозитами, снятием средств и возвратными активами.
Исправления, связанные с кредитованием, касаются того, как сеть определяет момент просрочки платежей и как проблемные кредиты влияют на бухгалтерский учёт хранилищ.
Однако поправка о техническом обслуживании не активирует эти функции кредитования, которые требуют отдельного одобрения валидаторов.
Ранее Ripple поддержала поправки о кредитовании, предназначенные для внедрения Single Asset Vaults и срочного институционального заимствования.
Предложения позволили бы кредитным брокерам оценивать заёмщиков и организовывать кредиты с использованием активов, внесённых в хранилища, при этом реестр фиксировал бы погашения и связанные транзакции.
Дополнительная поправка LendingProtocolV1_1 предлагает закрытые хранилища с периодами подписки, инвестирования и погашения, а также бухгалтерский учёт, признающий проценты при осуществлении платежей заёмщиками.
Каждая поправка о кредитовании должна независимо соответствовать требованиям сети к одобрению валидаторами, прежде чем связанные с ней функции смогут работать в основной сети.
