Ledger'ın acil yaması, 18,5 trilyon token basabilen bir açığı kapattı

Güncelleme 14:08 UTC: Bu söz, ödülün kendisi üzerine süren tartışmayı yatıştırmaya yetmedi: bazı kullanıcılar, 94 milyar dolarlık risk potansiyeli taşıyan bir açık için ödenen tutarın çok düşük olduğunu savunuyor ve araştırmacılara yetersiz ödeme yapıldığında kötü niyetli aktörlerin önce istismar edip sonra pazarlık etmeye yönelebileceği uyarısında bulunuyor.

18,5 Trilyon XRP'lik Taşma Riski

Saldırı yolu, defterin dahili borsasındaki emir defterinden (order book) geçiyordu. Saldırgan, XRP Ledger üzerinde özel olarak seçilmiş fiyatlarla teklifleri dizerek ödeme motorunun muhasebesini taşırabiliyor ve defterin hiç var etmediği, harcanabilir XRP'nin ortaya çıkmasını sağlayabiliyordu. Teorik kazanç, kabaca 18,5 trilyon tokena ulaşıyor ve bu rakam, ağın sabit dolaşımdaki arz (circulating supply) tavanı olan 100 milyar XRP'nin yaklaşık 185 katına denk geliyordu. Asıl mesele defterin arz güvencesiydi: sahte XRP yalnızca ekranda görünen bir hata değil, tamamen harcanabilir para olarak doğacaktsa, tavan pratikte anlamsızlaşabilirdi. Geliştiriciler bu yolu acil bir yamayla kapattı; yama 25 Eylül Cuma günü xrpld 3.4.1 sürümüyle yayınlandı.

XRPL Foundation'ın açık ifşa raporu, hatayı ödemeler defterin borsasından geçtiğinde teklifleri fiyatlayan toplama kodu BookStep'e izliyor. Belirli bir düzende dizilen teklifler motoru taşırabiliyor ve 2017'de yazılan, XRP'nin protokolün kendi kuralları dışında var olmasını engelleyen XRPNotCreated değişmezi (invariant) devre dışı kalabiliyordu. Güvenlik firması Veria bu yolu uygulamada gösterdi: uydurma tokenları bir dizi cüzdan adresi (wallet address) arasında dolaştırırken her hesabı defterin hesap başı bakiye tavanının altında tuttu, böylece dengesizlik hiçbir tekil hesapta yüzeye çıkmadı. Veria, teorik maruziyeti yaklaşık 94 milyar dolar olarak hesapladı. Takvim de şaşırtacak kadar sıkışıktı: açık 22 Eylül Salı günü doğrulandı, ertesi gün düzeltme kod tabanına birleştirildi ve 25 Eylül Cuma günü xrpld 3.4.1 içinde yamalı sürüm yayınlandı. Doğrulama, birleştirme ve yayın, her adımı dört günün içine sığdırdı. RippleX'in incelemesi, açığın canlı ağa karşı hiç kullanılmadığına dair bir iz bulamadı. Standart oylama sürecini atlama kararı ise 12 Ekim Pazartesi günü, acil yama duyurusu X'te dolaşıma girdiğinde yeniden gündeme geldi.

Doğrulayıcılar Neden Oyoya Çağrılmadı

XRPL'in olağan yönetişiminde doğrulayıcılar (validator), yeni bir kural devreye girmeden önce işlem işleme biçimini değiştiren güncellemeleri haftalarca süren bir dönem boyunca oylar ve ağ tek bir eşgüdümlü geçiş noktası kazanır. Şu anda sırada bekleyen değişiklik önerileri (amendment) tam olarak bu yolu izliyor. Bu düzeltme izlemedi. Kodun devreye girmeden önce yayınlanması, sunucuların çoğu hâlâ açık sürümü çalıştırırken saldırganlara işleyen bir tarif verebilirdi; bu yüzden geliştiriciler yamayı doğrudan çıkardı ve her sunucuda, o sunucu 3.4.1'e güncellendiğinde etkili oldu.

Bu istisna kendi riskini de taşıyordu. Dağıtım sırasında farklı sürümlerdeki sunucular aynı istismar işlemini farklı biçimlerde işleyebilir ve ağ, defter hakkında çelişen görüntülerle kalabilirdi. Bu pencere kısa sürdü: Veria'nın sayımına göre 25 Eylül itibarıyla doğrulayıcıların yüzde 80'inden fazlası yeni sürüme geçmiş durumdaydı. Kararı zorlayan, açığın ciddiyetiydi; standart süreçteki iki haftalık bekleme, saldırgana ağ açıkken çalışması için zaman verebilirdi. Olay ayrıca kodun yaşını kayda geçirdi: BookStep 2015'ten beri yazılımda duruyordu, XRPNotCreated değişmezi ise 2017'den bu yana yanındaydı ve ikisini birden kıran kombinasyon yıllar sonra bulundu.

Foundation'ın ifşa raporu hem taşmayı hem de amendment yolu atlanarak yayınlanma kararını ele alıyor ve bunun, defter yönetişimi için yeni bir şablon değil, orijinal arzın çok üzerinde harcanabilir XRP yaratabilecek bir tehdide verilen acil bir yanıt olduğuna açıkça işaret ediyor. Doğrulayıcılar bu ay ayrı protokol sorularını da tartıyor; bunlar arasında 23 Ekim Cuma gününe kadar PaymentBurn yetkilendirme yasağının kaldırılıp kaldırılmayacağı da var.

Foundation'ın ifşası, açığı sorumluluk bilinciyle bildirenleri Cayden Liao ve Veria AI olarak kayda geçirdi ve daha güçlü test süreçleri ile büyütülmüş bir hata ödül programı (bug bounty) sözü verdi. Bu söz, ödül tutarına dair süren tartışmayı bastırmaya yetmedi: kullanıcılar, bugünü tetiklemenin yüzlerce bilinçli olarak kurgulanmış işlem gerektirdiğini, dolayısıyla sıradan ödemelerin bu açığa takılması beklenmediğini de öğrendi. Foundation, ücret yakımları sonrasında bugünkü dolaşımdaki arzı yaklaşık 99,986 milyar XRP olarak verdi. Kullanıcılar, arz tavanı aşıldığında defterin neden otomatik bir güvenlik durdurması bulunmadığını sordu ve eşgüdümlü düzeltme üzerinden yeni merkeziyetsizleşme kaygıları yükseltti.

Yönetişimde Açıkta Kalan Soru

Burada belirleyici belge ifşa raporunun kendisi ve rapor sınırları açıkça yazıyor: hiçbir token basılmadı ve 18,5 trilyonluk rakam, istismarın neye ulaşabildiğini ölçüyor, neye ulaştığını değil. Bizim okumamız şudur: tavan, birilerinin emanetinde değil, kodda zorlandığı için ayakta kaldı. Açık tek bir özel anahtar (private key)'a bile dokunmadı; XRP'nin ne zaman var olduğunu belirleyen muhasebeye saldırdı. Bu, raporun açık bıraktığı takası çerçeveliyor. Arzı bozabilecek bir açığa karşı acil yama savunulabilirdi; ama aynı atlatma daha küçük tehditler için de tekrarlanırsa, defterin kurallarına ağırlığını veren doğrulayıcı süreci aşınabilir. Yükseltme 25 Eylül itibarıyla büyük ölçüde tamamlanmışken ve kayıtlarda istismar yokken, kaynaklar yatırımcının hâlâ atabileceği bir adıma işaret etmiyor. Söz konusu tartışma sürerken piyasa tarafını XRP teknik analizimiz izliyor; bu türden ifşa raporlarının nasıl okunacağını ise blokzincir güvenlik denetimi rehberimiz açıklıyor.