Theo Cointelegraph, các nhà phát triển XRP Ledger vừa lên tiếng bảo vệ quyết định vá lỗi bảo mật khẩn cấp, vốn được dùng để khắc phục một lỗ hổng nghiêm trọng có khả năng tạo ra XRP vượt quá nguồn cung cố định của mạng lưới. Họ khẳng định không thể chờ đợi quy trình bỏ phiếu xác thực thông thường kéo dài hai tuần mà không đặt mạng lưới vào nguy cơ bị tấn công.
Bản vá, được phát hành vào ngày 25 tháng 9, chỉ ba ngày sau khi báo cáo về lỗ hổng được công bố, đã có hiệu lực ngay lập tức trên bất kỳ máy chủ nào cài đặt nó. Đây là lần đầu tiên quy trình sửa đổi thông thường bị bỏ qua một cách có chủ ý kể từ khi hệ thống này được giới thiệu hơn một thập kỷ trước, các nhà phát triển cho biết.
Trong một bài đăng trên X vào Chủ nhật, các nhà phát triển XRPL giải thích: “Với quy trình bỏ phiếu sửa đổi thông thường, bản sửa lỗi sẽ được công khai trong nhiều tuần trước khi có hiệu lực, điều này sẽ đe dọa nghiêm trọng đến an ninh mạng.”
Tuy nhiên, động thái vá lỗi khẩn cấp này đã làm dấy lên những nghi vấn sâu sắc về mức độ phi tập trung của XRPL. Trên trang web của mình, XRPL luôn tự nhận là một blockchain công khai, phi tập trung hoàn toàn – một đặc điểm then chốt trong các lập luận bảo vệ rằng token gốc XRP của họ không phải là một chứng khoán.
Bản vá bảo mật XRPL “Gây Ra Hàng Loạt Câu Hỏi”
Justin Bons, người sáng lập Cyber Capital, đã thẳng thừng tuyên bố vào thứ Năm rằng việc tiếp thị XRP cho các nhà đầu tư nhỏ lẻ với tư cách là một dự án phi tập trung chẳng khác nào “gian lận trắng trợn”. Ông lập luận rằng bản phát hành khẩn cấp ngày 25 tháng 9 chỉ được cung cấp dưới dạng mã nhị phân, tạm thời giữ lại mã nguồn và gây áp lực buộc các nhà vận hành phải nâng cấp.
Tuy nhiên, Quỹ XRPL đã phản bác, cho rằng quyết định bỏ qua quy trình sửa đổi thông thường được đưa ra bởi sự phối hợp giữa Quỹ, RippleX, các nhà phát triển cốt lõi và các nhà xác thực, sau khi đánh giá mức độ nghiêm trọng của lỗi.
“Không một bên nào có thể đơn phương đưa ra quyết định này. Mỗi nhà xác thực và nhà điều hành nút đều tự chọn phần mềm để chạy, và phiên bản 3.4.1 chỉ trở thành bắt buộc thông qua một cuộc bỏ phiếu sửa đổi thông thường với hơn 80% sự ủng hộ của các nhà xác thực trong hai tuần. Các thay đổi giao thức vẫn phải trải qua quá trình sửa đổi,” quỹ nhấn mạnh.
Related: Ledger confirms unauthorized hardware implant, says losses may exceed $86M
XRP Kuwait, một nhà điều hành xác thực độc lập, cũng đã phản bác những tuyên bố cho rằng các nâng cấp phối hợp là dấu hiệu của sự kiểm soát tập trung.
“Chúng tôi không đồng ý với lập luận rằng việc các nhà điều hành phối hợp cập nhật tự nó đã là bằng chứng cho sự kiểm soát tập trung,” XRP Kuwait cho biết. “Phối hợp không đồng nghĩa với kiểm soát. Các nhà điều hành độc lập có thể đánh giá tình hình, trao đổi với nhau và đi đến cùng một kết luận mà không từ bỏ sự độc lập của mình.”
Lỗ hổng “Đáng Sợ” Có Thể Tạo Ra XRP Vô Hạn
Theo báo cáo tiết lộ lỗ hổng của dự án, lỗi này là một sự tràn số nguyên (integer overflow) trong công cụ thanh toán của XRP Ledger, đã tồn tại từ năm 2015.
Số dư XRP được lưu trữ dưới dạng số nguyên 64-bit với một giá trị tối đa cố định. Khi một tổng vượt quá giá trị tối đa này, phép tính sẽ “cuộn” về một số nhỏ hơn thay vì báo lỗi.
Kẻ tấn công có thể khai thác điều này bằng cách tạo ra hàng trăm đề nghị được định giá đặc biệt, mỗi đề nghị yêu cầu một lượng XRP rất lớn, sau đó gửi một khoản thanh toán duy nhất để tiêu thụ tất cả chúng.
Công cụ sẽ ghi nhận toàn bộ số tiền cho mỗi chủ sở hữu đề nghị nhưng chỉ tính phí người mua một tổng số tiền nhỏ đã bị “cuộn”. Phần chênh lệch chính là số XRP mới được tạo ra và có thể chi tiêu được.
Theo báo cáo, cuộc tấn công này đòi hỏi các đề nghị được xây dựng có chủ đích và không thể bị kích hoạt bởi hoạt động giao dịch thông thường. Các nhà phát triển cho biết họ không tìm thấy bằng chứng nào cho thấy lỗ hổng này đã bị khai thác trên bất kỳ mạng công khai nào.
Magazine: Ledger attack spreads to EU, AI finds ’18 trillion XRP’ bug: Hodler’s Digest
Nguồn: Cointelegraph – XRP Ledger defends emergency patch for unlimited XRP bug
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
