XRP Ledger odhalil kritickú chybu, ktorá mohla umožniť vytváranie XRP navyše
XRP Ledger zverejnil podrobnosti kritickej chyby v platobnom engine, ktorá mohla pri špeciálne vytvorených ponukách viesť k vytvoreniu a minutiu XRP nad zamýšľaný limit. Oprava je v xrpld 3.4.1.
Kritická chyba v XRPL mohla podľa analýzy projektu XRP Ledger umožniť vytvoriť a následne minúť XRP nad zamýšľaný limit. Projekt zverejnil technické podrobnosti 9. októbra, pričom opravu vydal už 25. septembra vo verzii softvéru xrpld 3.4.1. XRPL uvádza, že nenašiel dôkaz o zneužití na verejnej sieti.
Chyba súvisela s pretečením 64-bitového súčtu pri špeciálne vytvorených ponukách. Pri úspešnom zneužití by nešlo iba o chybu spracovania transakcie: mohla by zasiahnuť integritu peňažnej zásoby XRP, keďže takto vytvorené jednotky by bolo možné previesť alebo obchodovať.
Kritická chyba v XRPL a mimoriadna oprava
Oprava v xrpld 3.4.1 nezačala platiť až po bežnom amendment hlasovaní, ktoré sa pri zmenách pravidiel siete štandardne používa. Po aktualizácii servera sa aplikovala okamžite. Projekt tento postup označil za nevyhnutný vzhľadom na povahu problému.
Podľa XRPL by verejné vydanie opravy pred štandardným približne dvojtýždňovým hlasovacím obdobím odhalilo útočníkom chybu, ktorá by dovtedy zostala zneužiteľná. Zdrojový kód verzie 3.4.1 bol zverejnený následne.
Súvisiaci amendment fixBatchV1_2 nakoniec prešiel štandardným hlasovaním validátorov. Po jeho aktivácii sú staršie verzie softvéru blokované, uvádza projekt. Prevádzkovatelia serverov majú používať xrpld 3.4.1 alebo novší.
Otázky okolo správy siete
Prípad sa netýka len samotnej bezpečnostnej chyby, ale aj mechanizmu správy protokolu. XRPL pri oprave vedome obišiel obvyklú dvojtýždňovú aktivačnú procedúru pre zmenu spracovania transakcií. To vyvolalo verejné otázky, či takýto postup nie je v rozpore s decentralizovaným fungovaním siete.
XRPL Foundation a zapojení operátori argumentujú, že koordinovaná urgentná aktualizácia neznamenala centralizované riadenie siete. Ide však o ich stanovisko; z dostupných informácií ho nemožno nezávisle objektívne potvrdiť. Faktom zostáva, že povinné nasadenie súvisiaceho amendmentu sa uskutočnilo cez štandardné hlasovanie validátorov.
Bez dôkazu o zneužití, nie bez úplnej neistoty
Projekt uvádza, že pri kontrole nenašiel dôkaz, že by bola chyba zneužitá na Mainnete. Takéto zistenie však nie je definitívnym dôkazom, že k historickému zneužitiu nikdy nedošlo. Rozsah praktického rizika počas obdobia, keď nemuseli všetky servery používať rovnakú verziu, vychádza najmä z technického hodnotenia samotného XRPL.
Pre používateľov a prevádzkovateľov infraštruktúry je podstatné, že oprava je dostupná a staršie verzie sú po aktivácii amendmentu blokované. Prevádzkovatelia, ktorí softvér ešte neaktualizovali, by mali prejsť na xrpld 3.4.1 alebo novšiu verziu.
Čo sledovať ďalej
- nezávislý audit alebo forenznú analýzu, ktorá by preverila tvrdenie o neexistencii exploitácie na Mainnete,
- reakcie nezávislých validátorov a prevádzkovateľov na mimoriadny postup pri nasadení opravy,
- plánované dodatočné kontroly a opätovné testovanie bezpečnostných opráv pred ich vydaním.
Zdroje
- XRP Ledger – Vulnerability Disclosure Report for xrpld 3.4.1 – Primárny technický popis chyby, časová os, spôsob opravy, stav aktualizácie a tvrdenie projektu o nezistenom zneužití.
- XRPLF/rippled – Releases – Potvrdzuje vydanie xrpld 3.4.1, bezpečnostný charakter releasu a požiadavku na aktualizáciu.
- Cointelegraph – Dokumentuje verejnú kritiku mimoriadneho postupu a reakciu XRPL Foundation.
Overené a aktualizované: 12. 10. 2026 06:20
