XRP Ledger приблизился к активации исправления от 4 ноября для уязвимости, которая может позволить аккаунтам, уполномоченным только на сжигание выпущенных токенов, создавать новые при определённых условиях.
Краткое содержание
- Разработчики предупреждают эмитентов о недопустимости делегирования разрешения PaymentBurn до активации исправления.
- Поддержка валидаторов составляет 33 из 35, при этом активация зависит от устойчивой поддержки.
- Уязвимость касается выпущенных токенов, включая стейблкоины, и не затрагивает нативную эмиссию XRP.
- Поправка включает отдельные исправления для торговых пулов, учёта хранилищ и проверок займов.
Официальная документация XRPL определяет проблему в PaymentBurn — разрешении, предназначенном для того, чтобы позволить другому аккаунту уничтожать взаимозаменяемые токены от имени эмитента. До вступления в силу поправки fixCleanup3_4_0 делегат, обладающий этим разрешением, иногда может выпускать токены доверительных линий или токены многоцелевого назначения, известные как MPT.
Предупреждение конкретно исключает другие гранулярные разрешения из числа затронутых уязвимостью. Рекомендация состоит в том, чтобы избегать делегирования PaymentBurn, пока исправление остаётся неактивным.
Исправление XRP Ledger разделяет сжигание токенов и их выпуск
В справочнике разрешений XRPL перечисляет PaymentMint и PaymentBurn как отдельные функции. PaymentMint авторизует платежи, создающие взаимозаменяемые токены, тогда как PaymentBurn предназначен для авторизации их уничтожения без допущения пересечения платежом нулевого баланса.
В примечаниях к выпуску от 16 сентября для версии xrpld 3.4.0 исправление описывается напрямую: платежи с использованием PaymentBurn будут отклонены, если они пересекают эту границу. Изменение является частью пакета поправок, что означает, что его включение в серверное программное обеспечение само по себе не активирует новое правило транзакций по всей сети.
Задокументированная уязвимость касается аккаунтов, получивших затронутое делегированное разрешение. Ни предупреждение о разрешении, ни примечания к выпуску не указывают эмитента, чьи токены были мошеннически созданы.
Нативная эмиссия XRP находится вне этой уязвимости разрешения выпущенных токенов. Затронутые категории токенов — это активы, созданные в реестре через доверительные линии или фреймворк MPT.
Поддержка валидаторов ставит активацию на путь к 4 ноября
Согласно трекеру XRPLWin, fixCleanup3_4_0 имеет поддержку 33 из 35 отслеживаемых доверенных валидаторов, что эквивалентно 94,29%. При таком количестве валидаторов для преодоления требуемого порога необходимо 29 поддерживающих голосов.
Прогнозируемое время активации — 4 ноября примерно в 14:46 UTC, при условии, что поддержка останется выше 80% в течение двухнедельного периода ожидания.
История голосования показывает первоначальное большинство с 9 октября по 21 октября, когда поправка потеряла поддержку, необходимую для продолжения обратного отсчёта. Новое большинство началось 21 октября, что перенесло прогнозируемую активацию на ноябрь.
Снижение до 80% или ниже снова прервало бы период ожидания. Поэтому трекер указывает 4 ноября как условное время активации, а не как завершённое обновление сети.
Эмитенты могут обновлять или отзывать делегированные разрешения
Руководство по делегированию XRPL объясняет, что владелец аккаунта предоставляет другому аккаунту определённые полномочия через транзакцию DelegateSet. Владелец может изменить или отозвать эти разрешения через другую транзакцию того же типа.
Система поддерживает отдельные аккаунты для рутинных операций, при этом ключи, несущие полный контроль, остаются офлайн. В её документации приводится пример соответствия требованиям для стейблкоинов, включая одобрение пользователей, прошедших проверку личности.
Каждый делегат может получить до 10 разрешений. Определённые полномочия, в частности связанные с изменениями криптографических ключей или предоставлением дальнейших разрешений, не могут быть делегированы.
В руководстве говорится, что гранулярные разрешения предопределены и не могут быть настроены для охвата только выбранных валют. Его предупреждение о PaymentBurn приводится вместе с этими инструкциями по эксплуатации.
Распространение стейблкоинов в XRPL продолжало развиваться. Как ранее сообщал crypto.news, запуск RLUSD на Coinbase 28 октября охватил розничные и институциональные платформы, а сетевая поддержка распространяется на XRP Ledger, Ethereum и Base.
Ripple указывает в качестве эмитента RLUSD компанию Standard Custody & Trust Company — трастовую компанию ограниченного назначения, находящуюся под надзором штата Нью-Йорк. На её странице прозрачности говорится, что резервы хранятся на отдельных счетах, а ежемесячные отчёты сопоставляют токены в обращении с их обеспечивающими активами.
Исправления поправки распространяются на хранилища и кредитование
Помимо делегирования разрешений, официальное описание поправки перечисляет исправления для депозитов, снятий средств и возвратов (clawback) в хранилищах с одним активом, предназначенные для предотвращения избыточной или недостаточной поставки активов из-за округления.
Исправления торговых пулов касаются сумм возврата, которые округляются до нуля, и случаев, связанных с остаточным балансом последнего поставщика ликвидности.
Ранее Ripple поддержала предложения о нативном кредитовании, предназначенные для того, чтобы хранилища с одним активом могли предоставлять средства для срочных кредитов. Эти предложения имеют собственный процесс одобрения валидаторами.
В рамках поправки об очистке проверки просрочки, обесценения и дефолта по кредитам будут требовать, чтобы срок платежа строго истёк. Ещё одно изменение позволяет при снятии фиксированных долей хранилища возвращать нулевые активы, когда хранилище полностью обесценено, вместо того чтобы транзакция завершалась неудачей.
