Основные выводы
- XRP Ledger активирует обновление безопасности после задержки одобрения валидаторов
- Новая поправка закрывает лазейку, позволявшую создавать неавторизованные токены
- Собственный объем XRP остается неизменным из-за уязвимости
XRP Ledger активировал крупное обновление безопасности, устраняющее уязвимость, позволявшую определенным авторизованным аккаунтам создавать токены, которые им разрешалось только уничтожать, и завершившее почти двухнедельную задержку, вызванную голосованием валидаторов.
Поправка fixCleanup3_4_0 была запущена 4 ноября в 14:52 по UTC на уровне реестра 108 112 129, согласно XRPL Dashboard's amendment tracker. Обновление вводит несколько исправлений в области безопасности и бухгалтерского учета, включая защиту выпущенных активов, таких как стейблкоины.
Активация следует за более ранним задержкой обновления XRPL, когда поддержка валидаторов временно упала ниже необходимого порога. Важно, что уязвимость не затронула первоначальное предложение XRP, и никакое эксплуатирование не было публично подтверждено.
XRP Ledger закрывает уязвимость, связанную с разрешением на создание токенов
Самая значительная корректировка касается системы делегирования разрешений XRPL, которая позволяет владельцам аккаунтов авторизовывать другие аккаунты на выполнение определенных операций без предоставления полного контроля.
Согласно предыдущим правилам, аккаунт, обладающий разрешением PaymentBurn, мог в определенных обстоятельствах также создавать новые фунгибельные токены. Это включало традиционные активы по линии доверия и многопurpose-токены (MPT), что потенциально создавало проблемы для эмитентов стейблкоинов и других токенизированных финансовых продуктов.
Например, эмитент стейблкоина может разрешить платежному процессору уничтожать токены при выкупе. Это разрешение не должно позволять процессору выпускать дополнительные токены, но уязвимость может подорвать эту разделенность.
Недавно активированная поправка препятствует проведению транзакций PaymentBurn, при которых баланс переходит в ноль и создаются токены, если на аккаунте отсутствует отдельное разрешение на чеканку.
Исправление основано на недавних улучшениях безопасности XRPL, хотя ранее применённые аварийные исправления устраняли другие уязвимости.
Почему голосование валидаторов задержало устранение уязвимости
Поправка изначально ожидалась к активации около 23 октября после получения достаточной поддержки валидаторов 9 октября.
Однако поддержка упала ниже необходимого порога 21 октября, прервав обязательный 14-дневный период одобрения. Хотя большинство было восстановлено примерно через два часа, отсчет времени должен был начаться заново.
Поправки к протоколу XRPL требуют поддержки более чем 80% доверенных валидаторов в течение двух последовательных недель. При 35 валидаторах в отслеживаемой группе голосования требовалось как минимум 29 одобрений.
Второй период одобрения успешно завершился 4 ноября, что ознаменовало переход от предложенного изменения к активному сетевому правилу.
Процесс подчеркивает, что управление XRPL зависит от устойчивого консенсуса валидаторов, а не от односторонних решений Ripple.
Что дальше для обновлений XRP Ledger?
Помимо исправления ошибки создания токенов, fixCleanup3_4_0 улучшает возвраты автоматизированных маркет-мейкеров, управление резервами эскроу, подпись транзакций и учёт для одиночных активных хранилищ.
Однако поправка не активирует предложенный нативный протокол заимствования XRPL, который по-прежнему требует отдельного одобрения валидаторами.
Свежие данные голосования показали, что родственное кредитование получило 19 из 29 голосов, необходимых для начала собственного отсчета времени одобрения.
В то же время разработчики работают над дополнительными мерами безопасности токенов, включая более строгую проверку авторизации для институциональных активов.