XRPL Vakfı acil yamayı savundu: Sınırsız XRP açığı oylama beklenmeden kapandı

XRP Ledger Vakfı, ağın sabit arzının ötesinde XRP yaratılabilmesine yol açabilen bir yazılım hatasını kapatmak için kullanılan acil güvenlik yamasına yönelik eleştirilere yanıt verdi. Vakıf, hatanın saldırganlara açıklanmasını beklemeden normal iki haftalık doğrulayıcı oylamasının atlanmasının zorunlu olduğunu savundu.

Neden normal süreç atlandı?

25 Eylül'de yayımlanan yama, hata ödül programına yapılan bildirimden yalnızca üç gün sonra piyasaya sürüldü ve yamayı yükleyen her sunucuda derhal etkili oldu. Geliştiricilerin X üzerindeki paylaşımlarına göre, bu, sistemin on yıldan uzun süre önce tanıtılmasından bu yana normal değişiklik (amendment) sürecinin ilk bilinçli bypass edilmesiydi.

İlgili: XRP'de fiyat 2018 zirvesinden yüzde 62,5 uzakta: Arz artışı yapısal engel olarak öne çıkıyor

Geliştiriciler, "Normal bir amendment oylamasıyla yama, yürürlüğe girmeden haftalarca halka açık olurdu ve bu da ağ güvenliğini riske atardı" ifadesini kullandı.

Merkezileşme tartışması

Acilen içeren güncelleme, XRP Ledger'ın ne kadar merkeziyetsiz olduğu sorusunu gündeme getirdi. Cyber Capital kurucusu Justin Bons, perakende yatırımcılara XRP'nin merkeziyetsiz olduğu şeklinde pazarlanmasını dolandırıcılık olarak niteledi ve 25 Eylül'deki sürümün yalnızca derlenmiş dosyalar halinde dağıtıldığını, kaynak kodun geçici olarak tutulduğunu ileri sürdü.

XRPL Vakfı ise kararın Vakıf, RippleX, çekirdek geliştiriciler ve doğrulayıcılar tarafından hatanın ciddiyeti değerlendirilerek birlikte alındığını açıkladı. Vakfın açıklamasında, "Hiçbir taraf bu kararı tek başına veremezdi. Her doğrulayıcı ve düğüm operatörü hangi yazılımı çalıştıracağını seçer; 3.4.1 ancak normal bir amendment oylamasıyla, iki hafta boyunca yüzde 80'i aşan doğrulayıcı desteğiyle zorunlu hale geldi" denildi.

Bağımsız bir doğrulayıcı operatörü olan XRP Kuwait da koordineli güncellemelerin merkezileşmiş kontrol kanıtı olmadığı görüşünde: "Koordinasyon, kontrol ile aynı şey değildir. Bağımsız operatörler bir durumu değerlendirip birbirleriyle iletişim kurarak bağımsızlıklarından vazgeçmeden aynı sonuca varabilir."

Açık nasıl çalışıyordu?

Projenin güvenlik açığı bildirim raporuna göre hata, 2015'ten beri var olan ve XRP Ledger'ın ödeme motorundaki bir tam sayı taşmasıydı. XRP bakiyeleri sabit bir üst sınıra sahip 64 bit tam sayılar olarak saklanıyor; toplam bu sınırı aştığında hesaplama hata vermek yerine daha küçük bir sayıya sarılıyordu.

Saldırgan, her biri çok büyük miktarda XRP talep eden yüzlerce özel fiyatlı emir oluşturup bunların tümünü tüketen tek bir ödeme göndererek açığı kullanabiliyordu. Motor her emir sahibine tam tutarı kredilendirirken alıcıdan yalnızca sarılmış küçük toplamı tahsil ediyordu; aradaki fark yeni yaratılabilir XRP'ye dönüşüyordu.

İstismar kanıtı bulundu mu?

Rapor, saldırının normal ticari faaliyetle tetiklenemeyeceğini, özel olarak kurgulanmış emirler gerektirdiğini belirtti. Geliştiriciler, açığın herhangi bir kamu ağında kullanıldığına dair kanıt bulmadıklarını açıkladı. Tartışma, merkeziyetsizlik iddiasının XRP'nin menkul kıymet sayılmamasına yönelik argümanlarda merkezi bir rol oynaması nedeniyle kripto sektöründe geniş yankı buluyor.