Kwetsbaarheid in XRP Ledger verholpen; geen misbruik vastgesteld
Ripple heeft op 25 september in xrpld 3.4.1 een tien jaar oude kwetsbaarheid in de betalingsengine van XRP Ledger verholpen, voordat deze openbaar werd gemaakt. Veria AI meldde het probleem op 22 september via het XRPL Bug Bounty-programma. De kwetsbaarheid trof xrpld 3.4.0 en eerdere versies. Onder speciaal geconstrueerde omstandigheden had een integer-overflow ertoe kunnen leiden dat een betalingsberekening lager uitviel dan het verschuldigde bedrag, waardoor mogelijk ongeveer 18 biljoen besteedbare XRP kon worden gecreëerd — veel meer dan de maximale voorraad van 100 miljard XRP op het ledger. De XRP Ledger Foundation en RippleX zeiden geen aanwijzingen te hebben gevonden voor misbruik op een openbaar netwerk of voor ongeautoriseerde uitgifte van XRP. De oplossing is uitgerold via serverupdates, niet via het door validators goedgekeurde wijzigingsproces. Versie 3.4.1 verhielp ook een afzonderlijke kwetsbaarheid in Batch-transacties. De openbaarmaking wijst op een ernstig probleem in een essentieel betalingstraject van XRP Ledger, maar er is geen bevestigde overschrijding van de voorraadlimiet of verlies van gebruikersfondsen.
Neutral
De kwetsbaarheid was ernstig omdat deze een essentiële betalingsroute van de XRP Ledger trof en in theorie het maximumaanbod van 100 miljard XRP had kunnen ondermijnen. De beschikbare informatie wijst er echter op dat de kwetsbaarheid is verholpen voordat deze openbaar werd gemaakt. Onderzoekers vonden bovendien geen bewijs voor misbruik op het openbare netwerk, ongeoorloofde uitgifte van XRP of verliezen voor gebruikers. Daardoor is er weinig directe grond om een blijvend prijseffect te verwachten. Op korte termijn kan de bekendmaking volatiliteit veroorzaken doordat handelaren reageren op de mogelijke omvang van het probleem. De bevestigde patch en het ontbreken van bekende gevallen van misbruik kunnen de zorgen echter helpen beperken. Op langere termijn kan het incident opnieuw aandacht vestigen op de beveiliging van de XRP Ledger en de engineeringprocessen. Zonder bevestigde overschrijding van het aanbodplafond of verlies van vertrouwen vormt het incident op zichzelf echter geen aanhoudende positieve of negatieve katalysator voor XRP. Het verwachte prijseffect is daarom neutraal.