XRP Ledger के पेमेंट सॉफ़्टवेयर में एक खामी से, एक हमलावर बिना किसी रुकावट के खर्च करने योग्य XRP कॉइन बना सकता था। शुक्रवार को जारी एक सिक्योरिटी रिपोर्ट के मुताबिक, ये बग शायद 2015 से ही बिना पकड़े रह गया था।
XRP की सप्लाई 100 बिलियन टोकन पर सीमित है, और हर टोकन की वैल्यू लगभग $1.41 है, जिससे इसका मार्केट कैप करीब $88.8 बिलियन बनता है। RippleX, जो Ripple का डेवलपर सेक्शन है, ने कहा कि उन्हें ऐसा कोई सबूत नहीं मिला कि किसी ने इस खामी का फायदा उठाया हो।
कैसे एक पेमेंट से नए XRP बन सकते थे
XRP Ledger में एक इन-बिल्ट मार्केटप्लेस है, जहाँ यूजर्स अपनी टोकन को एक दूसरे के साथ ट्रेड करने के लिए ऑफर पोस्ट करते हैं।
रिपोर्ट के मुताबिक, एक अटैकर कुछ सैकड़ों अकाउंट खोल सकता था। हर अकाउंट में बहुत थोड़े टोकन के बदले में बहुत ज्यादा XRP की डिमांड की जाती।
फिर, एक सिंगल पेमेंट से सारे ऑफर्स एक साथ पूरे हो जाते। सॉफ्टवेयर की रनिंग टोटल वैल्यू इतनी ज्यादा हो गई थी कि उसका काउंटर रिसेट होकर बहुत छोटी संख्या पर आ जाता, बिल्कुल वैसे जैसे एक ओडोमीटर लिमिट क्रॉस कर जाता है।
जो सेलिंग अकाउंट्स थे, उन्हें पूरा पेमेंट मिल जाता लेकिन खरीदने वाले को लगभग कुछ भी नहीं देना पड़ता। एक सेफ्टी चेक, जो नए XRP को पकड़ने के लिए था, उसी काउंटर को यूज़ करता था, इसलिए इस गैप को भी मिस कर गया।
रिसर्चर Cayden Liao और Veria AI ने ये खामी XRPL बग बाउंटी प्रोग्राम के तहत 22 सितंबर को रिपोर्ट की थी।
Ripple ने XRP Ledger वेलिडेटर वोट को बायपास क्यों किया
XRP Ledger पर कोई भी रूल में बदलाव करने के लिए आमतौर पर 80% से ज्यादा ट्रस्टेड वेलिडेटर्स (जो ट्रांजैक्शन कन्फर्म करते हैं) का दो हफ्तों तक सपोर्ट चाहिए होता है।
यह फिक्स, जिसे 25 सितंबर को सर्वर सॉफ्टवेयर वर्जन 3.4.1 में रिलीज किया गया था, उसी वक्त एक्टिव हो गया जब-जब किसी ऑपरेटर ने अपग्रेड किया।
“ये पहली बार है जब ट्रांजैक्शन प्रोसेसिंग में बदलाव सीधे ऐसे शिप किया गया, जबकि अमेंडमेंट सिस्टम दस साल पहले इंट्रोड्यूस हुआ था,” RippleX ने बताया।
RippleX का कहना है कि अगर ये बदलाव पब्लिक वोटिंग में जाता, तो ओपन कोड में बग हफ्तों तक खुला रहता और एक्सप्लॉइट हो सकता था। रिलीज डे पर ही 80% से ज्यादा डिफॉल्ट वेलिडेटर्स ने अपग्रेड पूरा कर लिया था, इससे पहले कि फिक्स का कोड पब्लिश किया जाए।
यह डिस्क्लोजर एक दिन बाद आया है जब Cyber Capital के फाउंडर Justin Bons ने XRP को डिसेंट्रलाइजेशन के नाम पर बेचना “फ्रॉड” बताया था। यह XRP decentralization debate Ripple के David Schwartz के साथ हुई थी। रिपोर्ट के मुताबिक XRPL Foundation, RippleX और वेलिडेटर्स ने मिलकर ये फैसला लिया था।
RippleX ने कहा है कि आगे से कोई भी बदलाव वोटिंग के जरिए ही लाए जाएंगे।
