Der XRP Ledger hat ein Software-Update aktiviert, das eine Schwachstelle schließt, die es Konten mit der Berechtigung, ausgegebene Token zu zerstören, ermöglichte, unter bestimmten Bedingungen neue zu erstellen, ohne die native XRP-Kryptowährung zu beeinträchtigen.
Zusammenfassung
- Der XRP Ledger aktivierte die Änderung fixCleanup3_4_0 am 4. November um 14:52 UTC im Ledger 108.112.129.
- Das Update schließt einen Berechtigungsfehler, der es einem Konto, das zum Verbrennen ausgegebener Token berechtigt ist, ermöglichen könnte, unter bestimmten Bedingungen neue Token zu erstellen.
- Die Schwachstelle betraf ausgegebene Vermögenswerte, einschließlich Stablecoins und Multi-Purpose Tokens, nicht den nativen XRP-Bestand.
- Die Validator-Unterstützung fiel am 21. Oktober kurzzeitig unter den erforderlichen Schwellenwert, wodurch die obligatorische 14-tägige Genehmigungsfrist neu gestartet wurde.
- Die Änderung enthält Korrekturen für Handelspools, Vault-Buchhaltung und Transaktionssignierung, aktiviert jedoch nicht unabhängig das geplante Kreditsystem des XRP Ledger.
Der XRPLWin-Amendment-Tracker bestätigte, dass die Korrektur mit dem Namen fixCleanup3_4_0 am 4. November um 14:52 UTC im Ledger 108.112.129 in Kraft trat. Der Aktivierung gingen zwei aufeinanderfolgende Wochen mit Validator-Unterstützung voraus, nachdem eine kurze Unterbrechung im Oktober das Netzwerk zwang, seinen Genehmigungsprozess neu zu starten.
Die Korrektur behebt einen Fehler im Berechtigungsdelegationssystem des XRP Ledger, das es Kontoinhabern ermöglicht, andere Konten zur Ausführung bestimmter Transaktionen zu autorisieren, ohne die vollständige Kontrolle abzugeben.
XRP Ledger behebt Schwachstelle zur unbefugten Token-Erstellung
Die Schwachstelle betraf eine delegierte Berechtigung namens PaymentBurn, die es einem genehmigten Konto ermöglicht, von einem anderen Konto ausgegebene Token zu zerstören.
Unter normalen Umständen könnte ein Emittent diese Berechtigung einem Zahlungsdienst gewähren, der Stablecoin-Einlösungen abwickelt. Wenn ein Kunde Stablecoins gegen Dollar tauscht, könnte der Dienst die eingelösten Token zerstören, ohne die Berechtigung zu erhalten, Ersatz zu erstellen.
Die bisherigen Transaktionsregeln des XRP Ledger könnten es jedoch einem Konto, das nur über die PaymentBurn-Autorisierung verfügt, unter bestimmten Bedingungen ermöglichen, ausgegebene Token zu erstellen.
Das Problem trat auf, wenn Zahlungen unter Verwendung der delegierten Berechtigung eine Nullsaldo-Grenze überschritten. Die neueste Änderung verhindert, dass Transaktionen diese Grenze überschreiten, und trennt die Token-Zerstörung von der -Ausgabe.
Die offiziellen XRPL-Versionshinweise beschreiben die Korrektur als Ablehnung von „PaymentBurn-Zahlungen, die einen Nullsaldo überschreiten“.
Die Schwachstelle betraf im Netzwerk ausgegebene Vermögenswerte, einschließlich Stablecoins, Trust-Line-Token und Multi-Purpose Tokens. XRP selbst lag außerhalb des betroffenen Berechtigungssystems, was bedeutet, dass der Fehler keine unbefugte Erstellung der nativen Kryptowährung des Netzwerks ermöglichte.
Es wurde keine öffentlich bestätigte Ausnutzung der Schwachstelle gemeldet, und die verfügbaren Offenlegungen identifizieren keinen Emittenten, der eine unbefugte Token-Erstellung erlitten hat.
Die Korrektur folgt auf die zuvor offengelegte Token-Minting-Schwachstelle des Netzwerks, über die crypto.news am 2. November berichtete, als die Änderung noch auf ihre Aktivierung wartete.
Verzögerung der Validator-Genehmigung verschob die Korrektur in den November
Obwohl die Entwickler die Korrektur im September in die XRP Ledger-Serverversion 3.4.0 aufnahmen, änderte ihre Veröffentlichung nicht sofort die Transaktionsregeln des Netzwerks.
Protokolländerungen erfordern die Unterstützung von mehr als 80 % der vertrauenswürdigen Validatoren für 14 aufeinanderfolgende Tage, bevor sie aktiv werden.
Bei 35 Validatoren auf der verfolgten Standardliste müssen mindestens 29 eine Änderung während dieses Zeitraums unterstützen.
Die erste Genehmigungsfrist begann am 9. Oktober und brachte das Update auf Kurs für eine Aktivierung um den 23. Oktober.
Die Validator-Unterstützung fiel jedoch am 21. Oktober unter den erforderlichen Schwellenwert, wodurch der Countdown unterbrochen wurde, bevor die Änderung für die Aktivierung in Frage kam.
XRPLWin-Aufzeichnungen zeigen, dass der erste Versuch 12 Tage und drei Stunden dauerte. Eine neue Mehrheit wurde später am 21. Oktober erreicht, wodurch eine weitere zweiwöchige Wartezeit begann.
Der zweite Versuch dauerte 14 Tage und fünf Minuten, bevor das Netzwerk die Änderung am 4. November aktivierte.
Der Abstimmungsprozess des XRP Ledger erfordert ununterbrochene Unterstützung, sodass selbst ein vorübergehender Rückgang unter den Schwellenwert ein Upgrade verzögern kann.
Software-Update repariert Handels- und Transaktionskontrollen
Über die Schwachstelle bei der Token-Erstellung hinaus führt fixCleanup3_4_0 Korrekturen in mehreren Transaktionsfunktionen des XRP Ledger ein.
Darunter befinden sich Änderungen an Rückrufen von Automated Market Makern, die Emittenten nutzen, um bestimmte Vermögenswerte aus Liquiditätspools zurückzugewinnen.
Das Update verhindert, dass eine Transaktion die Token eines Liquiditätsanbieters zerstört, wenn Rundungsberechnungen andernfalls dazu führen würden, dass der Emittent keine zugrunde liegenden Vermögenswerte zurückerhält.
Entwickler korrigierten die Regeln für berechtigten Handel, um zu verhindern, dass Konten bestimmte Token über Angebote erhalten, wenn Emittentenbeschränkungen diese Transaktionen blockieren sollten.
Separate Änderungen betreffen Escrow-Reserven, die Autorisierung von Multi-Purpose Token und Transaktionssignaturen.
Zuvor verwendeten einige Signaturverfahren überlappende Autorisierungsstrukturen. Die Änderung führt getrennte Signaturpräfixe ein, um zu verhindern, dass Signaturen, die für eine Transaktionsrolle bestimmt sind, in einer anderen wiederverwendet werden.
Diese Korrekturen waren in der Softwareversion vom September enthalten, wobei Entwickler Serverbetreiber dazu aufforderten, ihre Software zu aktualisieren, bevor die neuen Regeln in Kraft traten.
XRP-Ledger-Kreditvergabe bleibt von separater Genehmigung abhängig
Die Aktivierung umfasst Buchhaltungskorrekturen, die für Single Asset Vaults und das vorgeschlagene Kreditvergabeprotokoll des XRP Ledger bestimmt sind.
Das Vault-System würde es Nutzern ermöglichen, Vermögenswerte in Pools einzuzahlen, die festlaufzeitige Kredite unterstützen könnten. Entwickler haben Berechnungen im Zusammenhang mit Einzahlungen, Auszahlungen und rückgewinnbaren Vermögenswerten angepasst.
Kreditbezogene Korrekturen betreffen die Art und Weise, wie das Netzwerk feststellt, wann Zahlungen überfällig werden, und wie beeinträchtigte Kredite die Vault-Buchhaltung beeinflussen.
Die Wartungsänderung aktiviert diese Kreditvergabefunktionen jedoch nicht, da diese eine separate Validator-Genehmigung erfordern.
Ripple hat zuvor die Kreditvergabänderungen unterstützt, die darauf ausgelegt sind, Single Asset Vaults und festlaufzeitige institutionelle Kreditaufnahmen einzuführen.
Die Vorschläge würden es Kreditmaklern erlauben, Kreditnehmer zu bewerten und Kredite unter Verwendung von in Vaults eingezahlten Vermögenswerten zu arrangieren, während das Ledger Rückzahlungen und damit verbundene Transaktionen aufzeichnet.
Die zusätzliche Änderung LendingProtocolV1_1 schlägt geschlossene Vaults mit Zeichnungs-, Investitions- und Rückzahlungszeiträumen vor, zusammen mit einer Buchhaltung, die Zinsen erfasst, wenn Kreditnehmer Zahlungen leisten.
Jede Kreditvergabänderung muss unabhängig die Genehmigungsanforderungen der Validatoren des Netzwerks erfüllen, bevor die zugehörigen Funktionen im Mainnet betrieben werden können.
