XRP Ledger Vakfı, acil güvenlik yaması konusunda ağ operatörlerine zorla uygulandığı iddialarına karşı çıktı.
XRP Ledger geliştiricileri, ağın sabit arzının ötesinde XRP yaratabilen bir açığı gidermek için kullanılan acil güvenlik yaması savunuldu. Geliştiriciler, açığı saldırganlara açığa çıkarmadan ağın olağan iki haftalık doğrulayıcı oylamasını bekleyemediklerini söyledi.
Yama 25 Eylül’de yayınlandı ve bir hata ödülü bildiriminden üç gün sonra geldi. Yükleyen her sunucuda hemen etkili oldu. Sistem on yılı aşkın süredir kullanımdaysa da geliştiricilere göre bu, normal değişiklik sürecinin kasıtlı olarak ilk kez atlandığı durumdu.
XRPL geliştiricileri Pazar günü X’te paylaştıkları mesajda, “Normal bir değişiklik oylamasıyla yama yürürlüğe girmeden haftalarca herkes tarafından görülecekti; bu da ağ güvenliğini riske atardı” dedi.
Hızlandırılmış düzeltme, XRPL’in merkeziyetsizlik düzeyi hakkında soruları da beraberinde getirdi. Web sitesinde XRPL kendini tamamen merkeziyetsiz, açık bir blok zinciri olarak tanımlıyor; bu niteleme yerel token XRP’nin menkul kıymet olmadığı savının merkezinde yer alıyor.
XRPL güvenlik yaması birçok soru yarattı
Siber Capital kurucusu Justin Bons Perşembe günü yaptığı açıklamada, XRP’yi perakende yatırımcılara merkeziyetsiz olarak pazarlamanın “düzmece bir dolandırıcılık” anlamına geldiğini söyledi. Bons, 25 Eylül’deki acil sürümün yalnızca ikili dosyalar halinde yayınlandığını, kaynak kodunun geçici olarak gizlendiğini ve operatörlerin yükseltme yapması için baskı uygulandığını savundu.
Ancak XRP Ledger Vakfı, normal değişiklik sürecinin atlanması kararının, açığın ciddiyeti değerlendirildikten sonra Vakıf, RippleX, çekirdek geliştiriciler ve doğrulayıcılar tarafından ortaklaşa alındığını belirtti.
Vakıf, “Bu kararı tek bir taraf tek başına alamazdı. Her doğrulayıcı ve düğüm operatörü hangi yazılımı çalıştıracağına kendisi karar verir ve 3.4.1 sürümü iki hafta boyunca yüzde 80’in üzerinde doğrulayıcı desteğiyle yapılan normal bir değişiklik oylamasıyla zorunlu hale geldi. Protokol değişiklikleri hâlâ değişiklikler yoluyla ilerliyor” dedi.
Bağımsız bir doğrulayıcı operatörü olan XRP Kuwait de koordineli yükseltmelerin merkezileşmiş kontrol işareti olduğu iddialarını reddetti.
XRP Kuwait, “Operatörlerin bir güncellemeyi koordine etmesinin tek başına merkezileşmiş kontrolün kanıtı olduğu iddiasına katılmıyoruz” dedi. “Koordinasyon kontrolle aynı şey değildir. Bağımsız operatörler bir durumu değerlendirebilir, birbirleriyle iletişim kurabilir ve bağımsızlıklarından vazgeçmeden aynı sonuca ulaşabilir.”
Açık sınırsız XRP basımına izin verebilirdi
Projenin güvenlik açığı bildirim raporuna göre açık, 2015 yılından beri var olan XRP Ledger ödeme motorundaki bir tam sayı taşmasıydı.
XRP bakiyeleri sabit bir maksimuma sahip 64 bit tamsayılar olarak saklanıyor. Bir toplam bu maksimumu aştığında hesaplama hata vermediği gibi daha küçük bir sayıya sarılıyordu.
Saldırgan bunu, her biri çok büyük miktarda XRP isteyen yüzlerce özel fiyatlı teklif oluşturup ardından hepsini tüketen tek bir ödeme göndererek istismar edebilirdi.
Motor her teklif sahibine tam tutarı yazdırırken alıcıdan yalnızca küçük sarmalanmış toplamı tahsil edecekti. Fark, yeni yaratılmış ve harcanabilir sınırsız XRP olacaktı.
Rapora göre saldırı kasıtlı olarak oluşturulmuş teklifler gerektiriyordu ve normal işlem faaliyetiyle tetiklenemiyordu. Geliştiriciler, sorunun herhangi bir genel ağda istismar edildiğine dair kanıt bulamadıklarını söyledi.
