Ledger'ın acil yaması, 18,5 trilyon token basabilen bir açığı kapattı

18,5 trilyon XRP'lik taşma riski

Saldırının rotası emir defterinden geçiyordu. XRP Ledger'ın içine yerleştirilmiş borsada, saldırgan özel olarak seçilmiş fiyatlarla alım satım tekliflerini sıralayarak ödeme motorunun muhasebesini taşırmayı başarabilecekti. Bu sayede defterin hiç üretmediği, ancak harcanabilir durumda olan XRP birimleri ortay çıkabilirdi. Teorik kazanım yaklaşık 18,5 trilyon tokena ulaşıyordu; bu, ağın dolaşımdaki arz tavanı olarak sabitlenmiş 100 milyar XRP'lik sınırın neredeyse 185 katına denk geliyor. Asıl tehlike, sahte XRP'nin ekranda görünen bir hesap hatası değil, tamamen harcanabilir bakiye biçiminde doğmasıydı. Yani taşma gerçekleşseydi, arz tavanı pratikte anlamsız hale gelebilirdi. Geliştiriciler bu yolu, 25 Eylül Cuma günü xrpld 3.4.1 sürümüyle yayımlanan bir acil yamayla kapattı.

XRPL Vakfı'nın güvenlik açığı bildirim raporu, kusuru BookStep adlı bileşene işaret ediyor. BookStep, bir ödeme defterin borsası üzerinden yöneldiğinde teklifleri fiyatlama işini yapan birleştirme kodu. Belirli bir düzen içinde dizilen teklifler, motoru taşırmayı ve 2017'de yazılan XRPNotCreated değişmezliğini devre dışı bırakmayı mümkün kılıyordu. Bu değişmezlik, XRP'nin protokolün kendi kuralları dışında var olmasını engelleyen koruma katmanıdır. Güvenlik firması Veria saldırıyı pratikte de gösterdi: uydurma tokenları bir dizi cüzdan adresi üzerinden hareket ettirirken her hesabı defterin hesap başına bakiye sınırının altında tuttu; böylece dengesizlik hiçbir tekil hesapta görünmedi. Veria, teorik maruziyeti yaklaşık 94 milyar dolar olarak hesapladı. Zaman çizelgesi de dikkat çekici biçimde sıkıştı. Açık 22 Eylül Salı günü doğrulandı, düzeltme ertesi gün kod tabanına birleştirildi ve yamalı sürüm 25 Eylül Cuma günü xrpld 3.4.1 içinde dağıtıma girdi. Doğrulama, birleştirme ve yayımlama adımlarının tamamı dört günün içine sığdı. RippleX'in incelemesi, kusurun canlı ağa karşı hiç kullanılmadığına dair bir iz bulamadı. Normal oylama sürecinin atlanması ise 12 Ekim Pazartesi günü, acil yama duyurusunun X üzerinde dolaşıma girmesiyle yeniden tartışma konusu oldu.

Validatörler neden oylamaya sunulmadı

XRPL'in olağan yönetişiminde, herhangi bir yeni kural devreye girmeden önce validatörler işlem işleme kurallarına ilişkin değişiklikler üzerine haftalar boyunca oy verir; bu, ağa tek bir koordineli geçiş noktası sağlar. Kuyrukta bekleyen değişiklik önerileri şu an tam olarak bu yolu izliyor. Bu düzeltme izlemedi. Kodu devreye alma anından önce yayımlamak, sunucuların çoğunluğu hâlâ açık yazılımı çalıştırırken saldırganlara kullanıma hazır bir tarif dağıtmaya eşdeğer olabilirdi. Bu yüzden geliştiriciler yamayı doğrudan yayımladı ve düzeltme, her sunucu 3.4.1 sürümüne geçtiğinde o sunucuda yürürlüğe girdi.

Bu istisna kendi riskini taşıyordu. Dağıtım süresince farklı sürümlerdeki sunucular aynı sömürü işlemini farklı biçimlerde işleyebilir ve ağ, defterin çelişen iki farklı görünümüyle baş başa kalabilirdi. Bu pencere kısa sürdü: Veria'nın sayımına göre 25 Eylül itibarıyla validatörlerin yüzde 80'inden fazlası yeni sürüme geçmiş durumdaydı. Kararın arkasındaki unsur açığın ciddiyetiydi; standart süreçte iki haftalık bir bekleme, saldırgana ağ savunmasızken çalışacak zaman tanıyabilirdi. Olay ayrıca kodun yaşını da kayda geçirdi: BookStep 2015'ten beri yazılımın parçası, XRPNotCreated değişmezliği ise 2017'den bu yana yanında duruyordu. Yani ikisini birlikte çökertecek kombinasyon yıllar sonra bulundu.

XRPL Vakfı'nın bildirim raporu hem taşmayı hem de değişiklik oylaması olmadan yayımlama kararını kapsıyor ve raporda bu adımın açık biçimde bir acil durum yanıtı olduğu vurgulanıyor: amaç, orijinal arzın çok ötesinde harcanabilir XRP yaratabilecek bir tehdidi durdurmak; yönetişim için yeni bir şablon üretmek değil. Validatörler bu ay ayrıca başka protokol sorularını da tartıyor; bunların arasında 23 Ekim Cuma'ya kadar PaymentBurn delegasyon yasağının kaldırılıp kaldırılmayacağı da var.

Açıkta kalan yönetişim sorusu

Bu dosyada asıl belirleyici belge bildirim raporu ve rapor sınırları açıkça çiziyor: hiçbir token basılmadı ve 18,5 trilyon figürü, sömürünün ulaşabileceği boyutu ölçüyor; ulaştığı boyutu değil. Bizim okumamız şu: tavan, kodda zorlandığı için, birilerinin gözetiminde tutulduğu için değil, ayakta kaldı. Kusur tek bir özel anahtara dokunmadı; XRP'nin ne zaman var olacağına karar veren muhasebeye saldırdı. Bu, raporun açık bıraktığı dengeyi de tanımlıyor. Arzı çökertecek bir açığa karşı acil yama savunulabilir; ama aynı geçiş, daha küçük tehditler için de tekrarlanırsa defterin kurallarına ağırlığını veren validatör süreci aşınır. Yükseltme 25 Eylül itibarıyla büyük ölçüde tamamlandığından ve kayıtlı hiçbir sömürü vakası bulunmadığından, kaynaklar yatırımcının hâlâ atması gereken bir adıma işaret etmiyor. Bu tartışma sürerken piyasa tarafını bizim XRP teknik analizi izliyor; bu tür bildirim raporlarının nasıl okunacağını ise blok zinciri güvenlik denetimleri rehberimiz açıklıyor.