Bảo mật của XRP Ledger và Quyết định Khẩn cấp
Các nhà phát triển của XRP Ledger đang bảo vệ quyết định bảo mật đặc biệt của mình sau khi triển khai một bản sửa lỗi giao thức quan trọng mà không chờ đợi quy trình phê duyệt của validator kéo dài hai tuần như thông thường. Cập nhật khẩn cấp, được phát hành vào ngày 25 tháng 9, đã giải quyết một lỗ hổng tồn tại suốt 11 năm có thể cho phép kẻ tấn công tạo ra XRP vượt quá giới hạn cung cấp mà tiền điện tử này dự kiến.
Chi tiết về Lỗ Hổng và Quy Trình Cập Nhật
Mặc dù các nhà điều tra không tìm thấy bằng chứng về việc khai thác, phương pháp được sử dụng để loại bỏ mối đe dọa đã gây ra cuộc tranh luận về cách các mạng phi tập trung nên phản ứng với các tình huống khẩn cấp. Theo khung quản trị thông thường của XRPL, các thay đổi ảnh hưởng đến quy trình giao dịch phải nhận được sự hỗ trợ từ hơn 80% các validator đáng tin cậy trong hai tuần liên tiếp trước khi được kích hoạt. Tuy nhiên, bản vá bảo mật tháng 9 đã theo một quy trình khác.
“Bản sửa lỗi có hiệu lực ngay lập tức trên mỗi máy chủ sau khi nâng cấp lên phiên bản xrpld 3.4.1, thay vì kích hoạt đồng thời thông qua một sửa đổi đã được phê duyệt.”
Các nhà phát triển cho biết mức độ nghiêm trọng của lỗ hổng cung cấp XRP đã khiến quy trình thông thường trở nên quá nguy hiểm. Việc công bố bản vá trong khi để lỗ hổng có thể bị khai thác trong khoảng thời gian bỏ phiếu kéo dài có thể đã cung cấp cho kẻ tấn công đủ thông tin để tái tạo khai thác.
Hệ Quả Kỹ Thuật và Phản Ứng Của Cộng Đồng
Vấn đề cơ bản liên quan đến tràn số nguyên trong động cơ thanh toán. Các giao dịch được xây dựng đặc biệt có thể đã khiến hệ thống ghi có nhiều XRP hơn số tiền mà người gửi thực sự đã trả, có khả năng tạo ra các token mới. Các nhà nghiên cứu đã truy tìm mã lỗ hổng về năm 2015, mặc dù họ không tìm thấy bằng chứng rằng nó đã bị khai thác trên một mạng công cộng.
Quyết định này không phải không có hậu quả kỹ thuật. Thông thường, các sửa đổi được kích hoạt đồng thời trên các máy chủ tương thích, đảm bảo rằng các validator áp dụng các quy tắc giao dịch giống nhau. Cập nhật khẩn cấp thay vào đó đã tạo ra một khoảng thời gian tạm thời khi các máy chủ đã nâng cấp sẽ từ chối một số giao dịch độc hại trong khi các phiên bản cũ hơn có thể vẫn chấp nhận chúng.
“Sự bất đồng đó lý thuyết có thể đã làm gián đoạn việc xác thực sổ cái nếu kẻ tấn công cố gắng khai thác lỗ hổng trước khi đủ số validator nâng cấp.”
Tuy nhiên, việc triển khai nhanh chóng đã giảm thiểu sự tiếp xúc đó. Hơn 80% các nhà điều hành trong Danh Sách Node Độc Nhất Mặc Định đã cài đặt phiên bản 3.4.1 vào ngày 25 tháng 9, theo thông báo của nhóm phát triển.
Cuộc Tranh Luận Về Quyền Lực và Quản Trị
Phản ứng này khác với bản sửa lỗi bảo mật Batch riêng biệt, đã theo quy trình sửa đổi thông thường và được kích hoạt vào ngày 9 tháng 10. Sự cố này đã đặt ra câu hỏi về mức độ quyền lực mà các nhà phát triển và các nhà điều hành validator nên thực hiện trong các tình huống khẩn cấp nghiêm trọng của mạng. Sự chỉ trích đã tập trung một phần vào việc phân phối tạm thời phần mềm trước khi mã nguồn nhạy cảm với bảo mật được công bố công khai.
Những người ủng hộ lập luận rằng sự phối hợp ngay lập tức là cần thiết để ngăn chặn kẻ tấn công khai thác một lỗ hổng đã được công bố. Quỹ XRPL đã bác bỏ các đề xuất rằng các nhà điều hành bị buộc phải cài đặt bản cập nhật, nhấn mạnh rằng các validator đã tự đưa ra quyết định nâng cấp của mình.
Kết Luận
Cuộc tranh luận cũng diễn ra khi các nâng cấp cho vay XRPL sắp tới tiếp tục di chuyển qua quy trình bỏ phiếu thông thường, cho thấy rằng các thay đổi giao thức thường xuyên vẫn cần sự hỗ trợ liên tục từ các validator. Các nhà phát triển khẳng định rằng việc bỏ qua các sửa đổi nên được giữ lại cho những mối đe dọa bảo mật cực kỳ nghiêm trọng, thay vì trở thành một lựa chọn tiêu chuẩn cho quản trị mạng.
Đối với những người nắm giữ XRP, mối quan tâm ngay lập tức đã được giải quyết: lỗ hổng đã được vá, và các nhà điều tra báo cáo không có khai thác nào được biết đến. Câu hỏi dài hạn là làm thế nào XRPL có thể duy trì quyết định phi tập trung trong khi phản ứng đủ nhanh với các mối đe dọa nghiêm trọng trong tương lai.
