Principales conclusiones
- XRP Ledger activa una actualización de seguridad tras la aprobación retrasada del validador
- La nueva enmienda cierra el agujero que permitía la creación no autorizada de tokens
- La oferta nativa de XRP permanece sin afectar por la vulnerabilidad
El XRP Ledger ha activado una actualización de seguridad importante que cierra una vulnerabilidad que permitía a ciertas cuentas autorizadas crear tokens que solo tenían permiso para destruir, poniendo fin a un retraso de casi dos semanas causado por la votación de los validadores.
La enmienda fixCleanup3_4_0 entró en vigor el 4 de noviembre a las 14:52 UTC, en el libro mayor 108,112,129, según XRPL Dashboard's amendment tracker. La actualización introduce varias correcciones de seguridad y contabilidad, incluyendo protecciones para activos emitidos, como stablecoins.
La activación sigue a una retraso en la actualización de XRPL, cuando el soporte de validadores bajó brevemente por debajo del umbral requerido. Importante, la vulnerabilidad no afectó la oferta nativa de XRP, y no se ha confirmado públicamente ninguna explotación.
XRP Ledger cierra la brecha de permisos para la creación de tokens
La corrección más significativa involucra el sistema de delegación de permisos de XRPL, que permite a los titulares de cuentas autorizar otras cuentas para realizar operaciones específicas sin otorgar control completo.
Bajo las reglas anteriores, una cuenta que poseía el permiso PaymentBurn podía, en ciertas circunstancias, crear nuevos tokens fungibles. Esto incluía activos tradicionales de línea de confianza y tokens de propósito múltiple (MPT), lo que potencialmente generaba problemas para los emisores de stablecoins y otros productos financieros tokenizados.
Por ejemplo, un emisor de stablecoin podría autorizar a un procesador de pagos a destruir tokens durante las redenciones. Ese permiso no debería permitir al procesador emitir tokens adicionales, pero la vulnerabilidad podría socavar esa separación.
La enmienda recién activada impide que las transacciones PaymentBurn crucen un saldo cero hacia la creación de tokens, a menos que la cuenta posea por separado el permiso de acuñación correspondiente.
La corrección se basa en las recientes mejoras de seguridad de XRPL, aunque las soluciones de emergencia anteriores abordaron vulnerabilidades distintas.
¿Por qué la votación del validador retrasó la corrección de seguridad
La enmienda originalmente se esperaba que se activara alrededor del 23 de octubre tras obtener el suficiente apoyo de validadores el 9 de octubre.
Sin embargo, el soporte cayó por debajo del umbral requerido el 21 de octubre, interrumpiendo el período de aprobación obligatorio de 14 días. Aunque la mayoría se restauró aproximadamente dos horas después, el recuento tuvo que reiniciarse.
Las enmiendas del protocolo XRPL requieren el apoyo de más del 80% de los validadores confiables durante dos semanas consecutivas. Con 35 validadores en el grupo de votación rastreado, se necesitaban al menos 29 aprobaciones.
El segundo período de aprobación se completó con éxito el 4 de noviembre, marcando la transición de un cambio propuesto a una regla de red activa.
El proceso destaca cómo XRPL governance depende del consenso sostenido de los validadores en lugar de decisiones unilaterales de Ripple.
¿Qué sigue para las actualizaciones de XRP Ledger?
Más allá de la corrección de la acuñación de tokens, fixCleanup3_4_0 mejora los reembolsos del creador de mercado automatizado, la gestión de reservas en fideicomiso, la firma de transacciones y la contabilidad para Bóvedas de Activo Único.
Sin embargo, la enmienda no activa el protocolo de préstamo nativo propuesto por XRPL, que aún requiere aprobación separada de los validadores.
Los datos recientes de votación mostraron que préstamo nativo recibió 19 de los 29 votos necesarios para comenzar su propio conteo de aprobación.
Mientras tanto, los desarrolladores están trabajando en protecciones adicionales de seguridad para tokens, incluyendo controles de autorización más estrictos para activos institucionales.