XRP Ledger активував оновлення програмного забезпечення, яке закриває вразливість, що дозволяла обліковим записам із дозволом знищувати випущені токени створювати нові за певних умов, не впливаючи на рідну криптовалюту XRP.
Резюме
- XRP Ledger активував поправку fixCleanup3_4_0 4 листопада о 14:52 UTC, на реєстрі 108,112,129.
- Оновлення закриває ваду дозволів, яка могла дозволити обліковому запису, уповноваженому спалювати випущені токени, створювати нові токени за певних умов.
- Вразливість стосувалася випущених активів, включно зі стейблкоїнами та багатоцільовими токенами, а не рідної пропозиції XRP.
- Підтримка валідаторів 21 жовтня ненадовго впала нижче необхідного порогу, що перезапустило обов'язковий 14-денний період схвалення.
- Поправка включає виправлення для торгових пулів, обліку сховищ і підписання транзакцій, але не активує самостійно заплановану систему кредитування XRP Ledger.
Трекер поправок XRPLWin підтвердив, що виправлення під назвою fixCleanup3_4_0 набуло чинності 4 листопада о 14:52 UTC, на реєстрі 108,112,129. Активація відбулася після двох послідовних тижнів підтримки валідаторів після короткого переривання в жовтні, яке змусило мережу перезапустити процес схвалення.
Виправлення усуває ваду в системі делегування дозволів XRP Ledger, яка дозволяє власникам облікових записів уповноважувати інші облікові записи виконувати конкретні транзакції без втрати повного контролю.
XRP Ledger виправляє вразливість несанкціонованого створення токенів
Вразливість стосувалася делегованого дозволу під назвою PaymentBurn, який дозволяє схваленому обліковому запису знищувати токени, випущені іншим обліковим записом.
За звичайних обставин емітент міг надати цей дозвіл платіжному сервісу, що обробляє погашення стейблкоїнів. Коли клієнт обмінює стейблкоїни на долари, сервіс міг знищувати погашені токени, не отримуючи дозволу на створення замінників.
Однак попередні правила транзакцій XRP Ledger могли дозволити обліковому запису, що має лише авторизацію PaymentBurn, створювати випущені токени за певних умов.
Проблема виникала, коли платежі з використанням делегованого дозволу перетинали межу нульового балансу. Остання поправка запобігає перетинанню транзакціями цієї межі, відокремлюючи знищення токенів від їх випуску.
Офіційні примітки до випуску XRPL описують виправлення як відхилення «платежів PaymentBurn, що перетинають нульовий баланс».
Вразливість впливала на активи, випущені в мережі, включно зі стейблкоїнами, токенами довірчих ліній і багатоцільовими токенами. Сам XRP перебував поза межами ураженої системи дозволів, тобто вада не дозволяла несанкціонованого створення рідної криптовалюти мережі.
Публічно підтверджених випадків експлуатації вразливості не повідомлялося, і доступні розкриття інформації не ідентифікують емітента, який зазнав несанкціонованого створення токенів.
Виправлення йде слідом за раніше розкритою вадою карбування токенів мережі, яку crypto.news висвітлював 2 листопада, коли поправка ще очікувала активації.
Затримка схвалення валідаторами відсунула виправлення на листопад
Хоча розробники включили виправлення до серверної версії XRP Ledger 3.4.0 у вересні, його випуск не змінив одразу правила транзакцій мережі.
Поправки протоколу вимагають підтримки понад 80% довірених валідаторів протягом 14 послідовних днів, перш ніж вони стануть активними.
За наявності 35 валідаторів у відстежуваному списку за замовчуванням щонайменше 29 мають підтримувати поправку протягом усього цього періоду.
Перший період схвалення розпочався 9 жовтня, що ставило оновлення на курс до активації приблизно 23 жовтня.
Однак підтримка валідаторів 21 жовтня впала нижче необхідного порогу, перервавши відлік до того, як поправка стала придатною для активації.
Записи XRPLWin показують, що перша спроба тривала 12 днів і три години. Нову більшість було встановлено пізніше 21 жовтня, розпочавши ще один двотижневий період очікування.
Друга спроба тривала 14 днів і п'ять хвилин, перш ніж мережа активувала поправку 4 листопада.
Процес голосування в XRP Ledger вимагає безперервної підтримки, тому навіть тимчасове зниження нижче порогу може відтермінувати оновлення.
Оновлення програмного забезпечення виправляє механізми контролю торгівлі та транзакцій
Окрім уразливості створення токенів, fixCleanup3_4_0 вносить виправлення до кількох функцій транзакцій XRP Ledger.
Серед них — зміни до механізму відкликання коштів автоматичного маркет-мейкера, який емітенти використовують для повернення певних активів із пулів ліквідності.
Оновлення запобігає знищенню токенів постачальника ліквідності транзакцією, коли округлення розрахунків інакше призвело б до того, що емітент не отримав би жодних базових активів.
Розробники виправили правила дозволеної торгівлі, щоб запобігти отриманню акаунтами певних токенів через пропозиції, коли обмеження емітента мали б блокувати такі транзакції.
Окремі зміни стосуються резервів ескроу, авторизації багатоцільових токенів і підписів транзакцій.
Раніше деякі процедури підписання використовували структури авторизації, що перекриваються. Поправка вводить окремі префікси підписання, щоб запобігти повторному використанню підписів, призначених для однієї ролі транзакції, в іншій.
Ці виправлення були включені до вересневого випуску програмного забезпечення, причому розробники закликали операторів серверів оновити своє програмне забезпечення до набуття чинності нових правил.
Кредитування в XRP Ledger залишається предметом окремого схвалення
Активація включає бухгалтерські виправлення, призначені для Single Asset Vaults та запропонованого протоколу кредитування XRP Ledger.
Система сховищ дозволила б користувачам вносити активи до пулів, які могли б підтримувати строкові позики. Розробники скоригували розрахунки, що стосуються депозитів, виведення коштів і відновлюваних активів.
Виправлення, пов’язані з кредитуванням, стосуються того, як мережа визначає, коли платежі стають простроченими, і як знецінені позики впливають на бухгалтерський облік сховищ.
Однак поправка щодо обслуговування не активує ці функції кредитування, які потребують окремого схвалення валідаторів.
Ripple раніше підтримувала поправки щодо кредитування, покликані запровадити Single Asset Vaults і строкове інституційне запозичення.
Пропозиції дозволили б кредитним брокерам оцінювати позичальників і організовувати позики з використанням активів, внесених до сховищ, тоді як реєстр фіксує погашення та пов’язані транзакції.
Додаткова поправка LendingProtocolV1_1 пропонує закриті сховища з періодами підписки, інвестування та погашення, а також бухгалтерський облік, який визнає відсотки, коли позичальники здійснюють платежі.
Кожна поправка щодо кредитування повинна самостійно відповідати вимогам мережі щодо схвалення валідаторами, перш ніж пов’язані з нею функції зможуть працювати в основній мережі.
