การปกป้องความปลอดภัยของ XRP Ledger
นักพัฒนาของ XRP Ledger กำลังปกป้องการตัดสินใจด้านความปลอดภัยที่ไม่ธรรมดา หลังจากที่ได้ดำเนินการแก้ไขโปรโตคอลที่สำคัญโดยไม่รอการอนุมัติจากผู้ตรวจสอบตามมาตรฐานของเครือข่าย ซึ่งใช้เวลาสองสัปดาห์ การอัปเดตฉุกเฉินที่ปล่อยออกมาเมื่อวันที่ 25 กันยายน ได้แก้ไขช่องโหว่ที่มีอายุ 11 ปี ซึ่งอาจทำให้ผู้โจมตีสามารถสร้าง XRP ที่สามารถใช้จ่ายได้เกินขีดจำกัดการจัดหาที่ตั้งใจไว้ของสกุลเงินดิจิทัล
การตอบสนองต่อเหตุการณ์ฉุกเฉิน
แม้ว่านักสืบจะไม่พบหลักฐานการถูกใช้ประโยชน์ แต่แนวทางที่ใช้ในการกำจัดภัยคุกคามได้สร้างการถกเถียงเกี่ยวกับวิธีที่เครือข่ายแบบกระจายอำนาจควรตอบสนองต่อเหตุการณ์ฉุกเฉิน ภายใต้กรอบการกำกับดูแล XRPL ตามปกติ การเปลี่ยนแปลงที่มีผลต่อการประมวลผลธุรกรรมจะต้องได้รับการสนับสนุนจากผู้ตรวจสอบที่เชื่อถือได้มากกว่า 80% เป็นเวลาสองสัปดาห์ติดต่อกันก่อนที่จะมีการเปิดใช้งาน
แพตช์ความปลอดภัยในเดือนกันยายนได้ปฏิบัติตามขั้นตอนที่แตกต่างออกไป
ตามรายงานช่องโหว่ที่เป็นทางการ การแก้ไขมีผลบังคับใช้ทันทีในแต่ละเซิร์ฟเวอร์หลังจากการอัปเกรดเป็น xrpld 3.4.1 แทนที่จะเปิดใช้งานพร้อมกันผ่านการแก้ไขที่ได้รับการอนุมัติ นักพัฒนากล่าวว่าความรุนแรงของช่องโหว่ในการจัดหา XRP ทำให้กระบวนการปกติเป็นอันตรายเกินไป
ปัญหาที่เกิดจากช่องโหว่
ปัญหาที่อยู่เบื้องหลังเกี่ยวข้องกับการล้นของจำนวนเต็มในเครื่องมือการชำระเงิน ธุรกรรมที่สร้างขึ้นเป็นพิเศษอาจทำให้ระบบเครดิต XRP มากกว่าที่ผู้ส่งจ่ายจริง ซึ่งอาจสร้างโทเค็นใหม่ นักวิจัยติดตามโค้ดที่มีช่องโหว่ไปถึงปี 2015 แม้ว่าพวกเขาจะไม่พบหลักฐานว่ามันถูกใช้ประโยชน์ในเครือข่ายสาธารณะ
ผลกระทบทางเทคนิค
การตัดสินใจนี้ไม่ได้ปราศจากผลทางเทคนิค โดยปกติแล้ว การแก้ไขจะเปิดใช้งานพร้อมกันในเซิร์ฟเวอร์ที่เข้ากันได้ เพื่อให้แน่ใจว่าผู้ตรวจสอบใช้กฎการทำธุรกรรมที่เหมือนกัน การอัปเดตฉุกเฉินกลับสร้างช่วงเวลาชั่วคราวที่เซิร์ฟเวอร์ที่อัปเกรดจะปฏิเสธธุรกรรมที่เป็นอันตรายบางอย่าง ในขณะที่เวอร์ชันเก่ากว่าอาจยังคงยอมรับได้
ความไม่เห็นด้วยนั้นอาจทำให้การตรวจสอบบัญชีถูกขัดจังหวะได้หากผู้โจมตีพยายามใช้ประโยชน์จากช่องโหว่ก่อนที่ผู้ตรวจสอบจะอัปเกรดเพียงพอ
อย่างไรก็ตาม การเปิดตัวอย่างรวดเร็วลดความเสี่ยงนั้นลง ผู้ดำเนินการมากกว่า 80% ในรายการ Unique Node List เริ่มต้นได้ติดตั้งเวอร์ชัน 3.4.1 ภายในวันที่ 25 กันยายน ตามการเปิดเผยของทีมพัฒนา
การถกเถียงเกี่ยวกับอำนาจในการตัดสินใจ
การตอบสนองแตกต่างจากการแก้ไขความปลอดภัย Batch ที่แยกต่างหาก ซึ่งปฏิบัติตามขั้นตอนการแก้ไขตามปกติและเปิดใช้งานในวันที่ 9 ตุลาคม เหตุการณ์นี้ได้กระตุ้นคำถามเกี่ยวกับอำนาจที่นักพัฒนาและผู้ดำเนินการตรวจสอบควรใช้ในช่วงเหตุการณ์ฉุกเฉินของเครือข่ายที่รุนแรง
การวิจารณ์มุ่งเน้นไปที่การแจกจ่ายซอฟต์แวร์ชั่วคราวก่อนที่โค้ดต้นทางที่มีความปลอดภัยจะถูกเผยแพร่ต่อสาธารณะ ผู้สนับสนุนโต้แย้งว่าการประสานงานทันทีเป็นสิ่งจำเป็นเพื่อป้องกันไม่ให้ผู้โจมตีใช้ประโยชน์จากช่องโหว่ที่เปิดเผย
ข้อสรุป
มูลนิธิ XRPL ได้ปฏิเสธข้อเสนอแนะว่าผู้ดำเนินการถูกบังคับให้ติดตั้งการอัปเดต โดยเน้นว่าผู้ตรวจสอบได้ตัดสินใจในการอัปเกรดด้วยตนเอง การถกเถียงยังเกิดขึ้นในขณะที่การอัปเกรดการให้กู้ยืม XRPL ที่กำลังจะมาถึงยังคงเคลื่อนผ่านกระบวนการลงคะแนนตามปกติ แสดงให้เห็นว่าการเปลี่ยนแปลงโปรโตคอลตามปกติยังคงต้องการการสนับสนุนจากผู้ตรวจสอบอย่างต่อเนื่อง
นักพัฒนายืนยันว่าการข้ามการแก้ไขควรสงวนไว้สำหรับภัยคุกคามด้านความปลอดภัยที่รุนแรงเป็นพิเศษ แทนที่จะกลายเป็นทางเลือกมาตรฐานสำหรับการกำกับดูแลเครือข่าย สำหรับผู้ถือ XRP ความกังวลในทันทีได้รับการแก้ไขแล้ว: ช่องโหว่ได้รับการแก้ไข และนักสืบรายงานว่าไม่มีการใช้ประโยชน์ที่รู้จักกัน
การตั้งคำถามในระยะยาวคือ XRPL จะรักษาการตัดสินใจแบบกระจายอำนาจได้อย่างไรในขณะที่ตอบสนองได้อย่างรวดเร็วพอสำหรับภัยคุกคามที่สำคัญในอนาคต
