BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
XRP Ledger Foundation оказался в центре скандала из-за размера вознаграждения за критическую уязвимость в сети. Пока одни вбивают в поиск kurs ripple, пытаясь угадать, куда качнется цена токена, разработчики и держатели XRP обсуждают куда более тревожную историю. Баг, из-за которого теоретически можно было создать XRP сверх всего существующего объема монет, фонд оценил всего в $250 000, и комьюнити считает эту сумму издевательством над масштабом проблемы.
Баг, который мог сломать математику XRP
Согласно собственному отчету фонда о раскрытии уязвимости, ошибка позволяла атакующему создавать XRP, доступные для трат, сверх общего объема монет, заложенного в протокол. Для тех, кто следит за ripple цена и считает каждый токен в обороте, это звучит как кошмар. Исправление вышло под номером версии 3.4.1, публичные бинарники опубликовали 25 сентября.
Фонд настаивает, что реального выпуска лишних XRP не произошло. Аргумент простой - объем в сто миллиардов токенов был зафиксирован еще при запуске сети, все данные реестра публичны, а сегодня в обращении находится около 99,986 миллиарда XRP, потому что комиссии за транзакции сжигаются, а не остаются в системе. Там же уточняют, что для срабатывания бага требовались сотни специально выстроенных операций подряд, так что обычный пользователь, который просто переводит монеты или проверяет ripple кошелек, никогда бы с этим не столкнулся. Отдельные специалисты по безопасности сети, работающие в духе программ класса xrpsec, подтверждают - такие баги почти невозможно поймать вручную, нужен был именно целенаправленный поиск.
kurs ripple уже не главный вопрос - все обсуждают сумму
Критики фонда смотрят не на технические объяснения, а на цифру выплаты. Пока одни интересуются, что будет с kurs ripple на фоне новости, другие прямо называют реакцию фонда неадекватной масштабу риска. Один из пользователей написал, что награда в $250 000 - это абсолютная шутка, и предупредил, что в следующий раз злоумышленники сначала воспользуются уязвимостью, а уже потом будут просить вознаграждение.
Команда, которая нашла этот баг, заслуживает куда большей награды, потому что ошибка была катастрофической по последствиям.
Третий комментатор пошел дальше и заявил, что фонду придется платить исследователям достойные суммы, иначе в следующий раз более дешевый вариант - просто эксплуатировать уязвимость - станет для атакующих привлекательнее честного раскрытия. Самый резкий отзыв звучал так, что XRP превращается в развод, если за находки такого уровня не платят адекватно, и что следующий похожий баг могут просто не раскрыть публично.
Экстренный патч вместо обычного голосования валидаторов
Обычно изменения в XRP Ledger проходят через процедуру амендмента, когда валидаторы сети голосуют за обновление неделями. В этот раз команда пропустила этот этап и выпустила экстренный патч, что для сети произошло впервые больше чем за десять лет. Подробности о том, как именно развивалась эта спешка, фонд уже объяснял ранее, в том числе в материале о экстренном патче XRPL из-за риска лишней эмиссии XRP.
В фонде говорят, что публичное раскрытие бага до выпуска фикса показало бы атакующим, где именно искать слабое место, а с учетом того, как быстро современные нейросети помогают находить подобные уязвимости, риск был слишком велик. Кстати, сама история находки бага с помощью искусственного интеллекта уже разбиралась в материале про то, как ИИ нашел в XRP Ledger баг, способный напечатать триллионы XRP. В фонде уверяют, что решение об экстренном выпуске согласовали вместе сеть, RippleX, основные разработчики и валидаторы.
Сообщество сомневается в децентрализации сети
Часть пользователей восприняла заявления о совместном решении скептически. Один из них рассказал, что знакомая компания долго не могла добиться помощи даже в простом вопросе смены имени внутри реестра, и это как-то не вяжется с картиной слаженной децентрализованной координации. Другой спросил в лоб, почему в протоколе вообще нет предохранителя, который бы автоматически останавливал сеть, если объем токенов вдруг превысит заданный потолок.
Эти вопросы особенно важны на фоне того, что XRP Ledger совсем недавно готовил и другой крупный пакет исправлений. О нем подробно писали в материале про обновление XRP Ledger с большим пакетом фиксов. Получается, что за относительно короткий срок сеть дважды оказывалась в ситуации, когда приходилось действовать быстро и не по стандартной процедуре, а это ровно та ситуация, в которой держатели токенов хотят видеть прозрачность, а не постфактум объяснения.
Почему это волнует не только спекулянтов
Аудитория вокруг Ripple огромная и очень разная. Кто-то ищет ripple официальный сайт, чтобы скачать официальный кошелек ripple и не нарваться на подделку, кто-то считает 1 ripple в рублях перед покупкой, кто-то вбивает ripple kaufen kreditkarte, чтобы купить токен картой, а кто-то интересуется ripple kursas или ripple grafikon на родном языке. Есть и те, кто следит за ripple акции компании-эмитента или читает ripple news ru, чтобы быть в курсе новостей на русском. Firma ripple для одних звучит как просто название компании, для других - как повод для вопроса, кому вообще можно доверять инфраструктуру токена.
Вне зависимости от того, что именно вы искали, будь то ripple к доллару, ripple к рублю или торговая пара xrpeur на бирже, новость о баге затрагивает всех, кто держит XRP. Ошибка такого масштаба, пусть даже теоретическая и не реализованная на практике, напрямую бьет по доверию к сети, а доверие и есть главный актив любого блокчейн-проекта. Не стоит забывать и уроки из смежных историй про безопасность кошельков, вроде истории с фейковым airdrop Shiba Inu, который опустошал кошельки - атакующие постоянно ищут новые способы добраться до чужих средств, и слабое место может оказаться не там, где его ждут.
Что обещает фонд и хватит ли этого
XRP Ledger Foundation публично поблагодарил исследователей, обнаруживших баг, Кейдена Ляо и команду Veria AI, за ответственное раскрытие уязвимости. Фонд также пообещал усилить тестирование кода и расширить программу поиска багов, сделав ее более щедрой для будущих находок. Пока неясно, устроит ли это критиков, которые уже назвали нынешнюю выплату смехотворной для бага подобного уровня опасности.
История получилась показательной сразу в нескольких смыслах. С одной стороны, система сработала так, как должна - уязвимость нашли люди на стороне добра, а не атакующие, фонд успел выпустить патч до того, как кто-то воспользовался бы дырой. С другой стороны, скупость вознаграждения создает неприятный стимул - зачем сообщать об уязвимости за скромную сумму, если теоретически можно попытаться монетизировать находку иначе. Для рынка, где и так хватает недоверия к крупным проектам, такие истории точно не добавляют спокойствия, даже если формально kurs ripple на цифры из отчета о баге никак не отреагировал.
