XRP Ledger ha activado una actualización de software que cierra una vulnerabilidad que permitía a cuentas con permiso para destruir tokens emitidos crear nuevos bajo ciertas condiciones, sin afectar a la criptomoneda nativa XRP.
Resumen
- XRP Ledger activó la enmienda fixCleanup3_4_0 el 4 de noviembre a las 14:52 UTC, en el ledger 108.112.129.
- La actualización cierra una falla de permisos que podría permitir a una cuenta autorizada a quemar tokens emitidos crear nuevos tokens bajo ciertas condiciones.
- La vulnerabilidad concernía a activos emitidos, incluidos stablecoins y Multi-Purpose Tokens, no al suministro nativo de XRP.
- El soporte de validadores cayó brevemente por debajo del umbral requerido el 21 de octubre, reiniciando el período de aprobación obligatorio de 14 días.
- La enmienda incluye correcciones para pools de trading, contabilidad de vaults y firma de transacciones, pero no activa de forma independiente el sistema de préstamos planificado de XRP Ledger.
El rastreador de enmiendas XRPLWin confirmó que la corrección, denominada fixCleanup3_4_0, entró en vigor el 4 de noviembre a las 14:52 UTC, en el ledger 108.112.129. La activación se produjo tras dos semanas consecutivas de soporte de validadores después de que una breve interrupción en octubre obligara a la red a reiniciar su proceso de aprobación.
La corrección aborda una falla en el sistema de delegación de permisos de XRP Ledger, que permite a los titulares de cuentas autorizar a otras cuentas a realizar transacciones específicas sin ceder el control completo.
XRP Ledger corrige una vulnerabilidad de creación no autorizada de tokens
La vulnerabilidad involucraba un permiso delegado llamado PaymentBurn, que permite a una cuenta aprobada destruir tokens emitidos por otra cuenta.
En circunstancias normales, un emisor podría conceder ese permiso a un servicio de pago que gestiona reembolsos de stablecoins. Cuando un cliente cambia stablecoins por dólares, el servicio podría destruir los tokens reembolsados sin recibir permiso para crear reemplazos.
Sin embargo, las reglas de transacción anteriores de XRP Ledger podían permitir que una cuenta que solo poseía autorización de PaymentBurn creara tokens emitidos bajo ciertas condiciones.
El problema surgió cuando los pagos que utilizaban el permiso delegado cruzaban un límite de saldo cero. La última enmienda impide que las transacciones crucen ese límite, separando la destrucción de tokens de la emisión.
Las notas oficiales de la versión de XRPL describen la corrección como el rechazo de “pagos PaymentBurn que cruzan un saldo cero”.
La vulnerabilidad afectaba a los activos emitidos en la red, incluidos stablecoins, tokens de trust-line y Multi-Purpose Tokens. El propio XRP quedaba fuera del sistema de permisos afectado, lo que significa que la falla no permitía la creación no autorizada de la criptomoneda nativa de la red.
No se ha reportado ninguna explotación de la vulnerabilidad confirmada públicamente, y las divulgaciones disponibles no identifican a ningún emisor que haya sufrido creación no autorizada de tokens.
La corrección sigue a la falla de acuñación de tokens previamente divulgada de la red, que crypto.news cubrió el 2 de noviembre cuando la enmienda aún esperaba activación.
El retraso en la aprobación de validadores empujó la corrección a noviembre
Aunque los desarrolladores incluyeron la corrección en la versión 3.4.0 del servidor de XRP Ledger en septiembre, su lanzamiento no cambió inmediatamente las reglas de transacción de la red.
Las enmiendas de protocolo requieren el apoyo de más del 80% de los validadores de confianza durante 14 días consecutivos antes de activarse.
Con 35 validadores en la lista predeterminada rastreada, al menos 29 deben apoyar una enmienda durante ese período.
El primer período de aprobación comenzó el 9 de octubre, lo que situaba la actualización en camino de activarse alrededor del 23 de octubre.
Sin embargo, el soporte de validadores cayó por debajo del umbral requerido el 21 de octubre, interrumpiendo la cuenta atrás antes de que la enmienda fuera elegible para activación.
Los registros de XRPLWin muestran que el primer intento duró 12 días y tres horas. Una nueva mayoría se estableció más tarde el 21 de octubre, comenzando otro período de espera de dos semanas.
El segundo intento duró 14 días y cinco minutos antes de que la red habilitara la enmienda el 4 de noviembre.
El proceso de votación del XRP Ledger requiere un apoyo ininterrumpido, por lo que incluso una caída temporal por debajo del umbral puede posponer una actualización.
La actualización de software repara los controles de trading y transacciones
Más allá de la vulnerabilidad de creación de tokens, fixCleanup3_4_0 introduce correcciones en varias funciones de transacción del XRP Ledger.
Entre ellas se incluyen cambios en las recuperaciones de creadores de mercado automatizados, que los emisores utilizan para recuperar ciertos activos de los fondos de liquidez.
La actualización evita que una transacción destruya los tokens de un proveedor de liquidez cuando los cálculos de redondeo, de otro modo, darían como resultado que el emisor no recupere ningún activo subyacente.
Los desarrolladores corrigieron las reglas de trading con permisos para evitar que las cuentas reciban ciertos tokens mediante ofertas cuando las restricciones del emisor deberían bloquear esas transacciones.
Cambios separados abordan las reservas de escrow, la autorización de Multi-Purpose Token y las firmas de transacciones.
Anteriormente, algunos procedimientos de firma utilizaban estructuras de autorización superpuestas. La enmienda introduce prefijos de firma distintos para evitar que las firmas destinadas a un rol de transacción se reutilicen en otro.
Estas correcciones se incluyeron en la versión de software de septiembre, y los desarrolladores instaron a los operadores de servidores a actualizar su software antes de que las nuevas reglas entraran en vigor.
El préstamo del XRP Ledger sigue sujeto a una aprobación separada
La activación incluye correcciones contables destinadas a Single Asset Vaults y al propuesto protocolo de préstamo del XRP Ledger.
El sistema de vaults permitiría a los usuarios depositar activos en fondos que podrían respaldar préstamos a plazo fijo. Los desarrolladores han ajustado los cálculos relacionados con depósitos, retiros y activos recuperables.
Las correcciones relacionadas con préstamos abordan cómo la red determina cuándo los pagos se vuelven vencidos y cómo los préstamos deteriorados afectan la contabilidad de los vaults.
Sin embargo, la enmienda de mantenimiento no activa esas funciones de préstamo, que requieren una aprobación separada de los validadores.
Ripple apoyó anteriormente las enmiendas de préstamo diseñadas para introducir Single Asset Vaults y préstamos institucionales a plazo fijo.
Las propuestas permitirían a los corredores de préstamos evaluar a los prestatarios y organizar préstamos utilizando activos depositados en los vaults, mientras el ledger registra los reembolsos y las transacciones asociadas.
La enmienda adicional LendingProtocolV1_1 propone vaults de plazo cerrado con períodos de suscripción, inversión y redención, junto con una contabilidad que reconoce los intereses cuando los prestatarios realizan pagos.
Cada enmienda de préstamo debe satisfacer de forma independiente los requisitos de aprobación de los validadores de la red antes de que sus funciones asociadas puedan operar en la mainnet.
