Points clés
- XRP Ledger active une mise à jour de sécurité après une approbation retardée des validateurs
- Nouvel amendement ferme la faille permettant la création non autorisée de jetons
- L'offre native de XRP n'est pas affectée par la vulnérabilité
Le XRP Ledger a activé une mise à jour de sécurité majeure qui ferme une vulnérabilité permettant à certains comptes autorisés de créer des jetons qu'ils n'étaient autorisés qu'à détruire, mettant fin à un délai de près de deux semaines causé par le vote des validateurs.
L'amendement fixCleanup3_4_0 est entré en vigueur le 4 novembre à 14:52 UTC, au ledger 108 112 129, selon XRPL Dashboard's amendment tracker. Cette mise à jour introduit plusieurs corrections de sécurité et de comptabilité, notamment des protections pour les actifs émis, tels que les stablecoins.
L'activation suit un retard de mise à niveau XRPL, lorsqu'une prise en charge des validateurs est brièvement tombée en dessous du seuil requis. Il est important de noter que cette vulnérabilité n'a pas affecté l'offre native de XRP, et aucune exploitation n'a été publiquement confirmée.
XRP Ledger ferme la faille de permission de création de jetons
La correction la plus significative concerne le système de délégation de permissions de XRPL, qui permet aux détenteurs de comptes d'autoriser d'autres comptes à effectuer des opérations spécifiques sans accorder un contrôle complet.
Sous les règles précédentes, un compte détenant la permission PaymentBurn pouvait, dans certaines circonstances, créer de nouveaux jetons interchangeables. Cela incluait les actifs traditionnels de ligne de confiance et les jetons à usage multiple (MPT), ce qui pouvait créer des problèmes pour les émetteurs de stablecoins et d'autres produits financiers tokenisés.
Par exemple, un émetteur de stablecoin pourrait autoriser un processeur de paiement à détruire des jetons lors des remboursements. Cette autorisation ne devrait pas permettre au processeur d'émettre des jetons supplémentaires, mais cette vulnérabilité pourrait compromettre cette séparation.
La modification récemment activée empêche les transactions PaymentBurn de traverser un solde nul pour créer des jetons, à moins que le compte ne détienne séparément la permission de frappe appropriée.
La correction s'appuie sur les améliorations de sécurité récentes de XRPL, bien que les correctifs d'urgence antérieurs aient traité des vulnérabilités distinctes.
Pourquoi le vote des validateurs a retardé la correction de sécurité
La modification était initialement prévue pour être activée vers le 23 octobre après avoir obtenu le soutien suffisant des validateurs le 9 octobre.
Cependant, le soutien est tombé en dessous du seuil requis le 21 octobre, interrompant la période d'approbation obligatoire de 14 jours. Bien que la majorité ait été rétablie environ deux heures plus tard, le compte à rebours a dû redémarrer.
Les amendements du protocole XRPL nécessitent le soutien de plus de 80 % des validateurs de confiance pendant deux semaines consécutives. Avec 35 validateurs dans le groupe de vote suivi, au moins 29 approbations étaient nécessaires.
La deuxième période d'approbation a été successfully terminée le 4 novembre, marquant la transition d'un changement proposé à une règle réseau active.
Le processus met en évidence la manière dont XRPL governance repose sur un consensus soutenu des validateurs plutôt que sur des décisions unilatérales de Ripple.
Qu'est-ce qui suit pour les mises à jour de XRP Ledger ?
Au-delà de la correction de la création de jetons, fixCleanup3_4_0 améliore les rappels des market makers automatisés, la gestion des réserves en consignation, la signature des transactions et la comptabilisation pour les Single Asset Vaults.
Cependant, cet amendement n'active pas le protocole de prêt natif proposé par XRPL, qui nécessite toujours une approbation séparée des validateurs.
Les données de vote récentes ont montré que prêt natif a reçu 19 des 29 voix nécessaires pour démarrer son propre compte à rebours d'approbation.
Dans le même temps, les développeurs travaillent sur des protections supplémentaires pour la sécurité des jetons, notamment des vérifications d'autorisation plus strictes pour les actifs institutionnels.