Kritična ranjivost u XRP Ledgeru, koja je mogla omogućiti stvaranje novih XRP tokena mimo predviđene ukupne ponude, javno je objašnjena 9. oktobra, nakon septembarskog glasanja akcionara o izlasku kompanije Evernorth Holdings na berzu.
Greška je prethodno ispravljena hitnim ažuriranjem. Prema zvaničnom izvještaju XRP Ledgera, nisu pronađeni dokazi da je iskorištena na bilo kojoj javnoj mreži. Slučaj ipak otvara pitanje informacija kojima su investitori raspolagali prilikom odlučivanja o kompaniji čija se strategija zasniva na držanju XRP-a.
Šta je omogućavala ranjivost?
Problem se nalazio u mehanizmu za obradu plaćanja i bio je povezan sa prekoračenjem opsega cijelih brojeva, odnosno greškom poznatom kao "integer overflow".
Prema zvaničnom izvještaju, posebno konstruisana transakcija mogla je dovesti do stvaranja raspoloživog XRP-a daleko iznad ukupne predviđene ponude. Takvi tokeni mogli bi potom da se prenose, razmjenjuju ili šalju na berze.
Istraga ukazuje da je propust vjerovatno postojao još od 2015. godine. Njegovo iskorištavanje zahtijevalo bi namjerno pripremljene transakcije; nije riječ o problemu koji bi nastao tokom uobičajenog plaćanja.
Kada su programeri saznali za problem?
Prema dostavljenom tekstu, istraživač Kejden Lijao i Veria AI prijavili su ranjivost 22. septembra kroz program nagrađivanja za otkrivanje bezbjednosnih propusta.
Tim RippleX reprodukovao je problem i podigao njegovu ocjenu ozbiljnosti na kritičnu. Ispravka je objavljena 25. septembra u verziji softvera xrpld 3.4.1.
U tadašnjem opisu izmjena navedeno je unapređenje bezbjednosti aritmetičkih operacija u mehanizmu plaćanja, bez javnog objašnjenja da je propust mogao omogućiti stvaranje novih tokena.
Kako se vremenski poklapaju ispravka i odluke akcionara?
Prema navodima dostavljenog teksta, akcionari su do 28. septembra mogli da zatraže otkup svojih akcija za novac prije planiranog poslovnog spajanja. Glasanje je održano 30. septembra, dok je detaljan izvještaj o ranjivosti objavljen 9. oktobra.
Dokument podnesen američkoj Komisiji za hartije od vrijednosti i berze, SEC-u, potvrđuje održavanje skupštine 30. septembra i završetak poslovnog spajanja 9. oktobra. Ripple Labs naveden je među stranama sporazuma.
To znači da je javno objašnjenje prirode propusta stiglo nakon glasanja. Sama hronologija, međutim, ne utvrđuje ko je unutar Evernortha znao za ranjivost, kada je to saznao niti da li je prekršena obaveza informisanja investitora.
Zašto je ograničena ponuda XRP-a važna za ovaj slučaj?
Evernorth svoju poslovnu strategiju zasniva na držanju XRP-a, zbog čega su osobine te digitalne imovine značajne za investitore.
U dokumentaciji opisanoj u dostavljenom tekstu navedeno je da je svih 100 milijardi XRP tokena stvoreno prilikom pokretanja mreže 2012. godine.
Izvršni direktor Evernortha Ašiš Birla ranije je u podkastu SPAC Insider, prema transkriptu navedenom u tekstu, izjavio:
"XRP je unaprijed kreirana digitalna imovina. Na početku je stvoreno sto milijardi XRP-a i taj broj se nikada neće promijeniti. Značajan dio Ripple drži na escrow računima."
Otkriveni propust nije dokaz da je ponuda zaista povećana. Pokazuje, međutim, da je postojala tehnička mogućnost kršenja pravila na kojem se zasniva tvrdnja o njenom ograničenju.
Zašto je ispravka uvedena bez uobičajenog glasanja?
Ispravka ove ranjivosti primijenjena je neposredno nakon nadogradnje servera, bez standardnog postupka glasanja validatora o izmjeni protokola.
Zvanični izvještaj takvu odluku obrazlaže ozbiljnošću problema: javno objavljivanje detalja uz višesedmično čekanje aktivacije ostavilo bi poznatu ranjivost otvorenom za napad. Više od 80 odsto validatora sa podrazumijevane liste pouzdanih čvorova nadogradilo je softver na dan objave.
Da li je potvrđena šteta ili odgovornost kompanija?
Nema potvrde da je ranjivost iskorištena niti da su njome stvoreni dodatni XRP tokeni.
Tvrdnja iz dostavljenog teksta da je propust mogao oboriti cijenu gotovo na nulu predstavlja procjenu mogućih posljedica, a ne utvrđen ishod navodi protos.
U tekstu se navodi i da je investiciona dokumentacija sadržavala opšta upozorenja o mogućim tehničkim nedostacima XRP Ledgera, ali ne i konkretno objašnjenje ove ranjivosti tokom perioda odlučivanja akcionara.
Za ocjenu eventualne odgovornosti zbog neobjavljivanja informacija bilo bi potrebno utvrditi dodatne činjenice, uključujući znanje odgovornih osoba i primjenjive obaveze objavljivanja.