Uma auditoria no XRP Ledger não encontrou indícios de criação não autorizada de XRP após a correção de uma vulnerabilidade de overflow. Segundo a pesquisadora Dr. Stevenson, a falha existia desde cerca de 2015. Em tese, o problema poderia permitir a obtenção fraudulenta de XRP ou a geração de tokens sem autorização. Contudo, a análise não identificou evidências de exploração.

Justin Bons, fundador da Cyber Capital, criticou a gestão das atualizações recentes da rede. Além disso, seus comentários abordaram o papel das listas de validadores no processo de consenso. Nesse debate, participantes questionaram o nível de influência exercido pelos operadores das listas padrão.

Atualização corrige vulnerabilidade na rede

Dr. Stevenson informou que pesquisadores descobriram a vulnerabilidade em 22 de setembro, por meio do programa oficial de recompensas por bugs do XRP Ledger. Uma falha de overflow ocorre quando um cálculo supera a capacidade de armazenamento de uma variável. Por isso, o erro poderia permitir a manipulação de saldos ou a geração de recursos não autorizados. O risco exigiu uma atualização coordenada entre os participantes da rede.

Em resposta, os desenvolvedores lançaram a versão 3.4.1 do software em 25 de setembro. No entanto, eles não divulgaram inicialmente o código completo da correção. Ainda assim, mais de 80% dos validadores atualizaram seus sistemas no mesmo dia. A adesão permitiu preparar a ativação da mudança de protocolo.

Duas semanas depois, em 9 de outubro, a rede ativou a alteração. Com isso, os nós que ainda não haviam atualizado perderam a conexão com o restante da rede. Posteriormente, uma auditoria verificou se alguém havia explorado a vulnerabilidade para criar XRP sem autorização. A análise não encontrou sinais desse tipo de atividade.

Dr. Stevenson afirmou que a falha de overflow existia desde cerca de 2015. Apesar do risco de obtenção de XRP ou geração não autorizada de tokens, a auditoria não identificou evidências de exploração.

A pesquisadora não revelou a identidade do auditor nem disponibilizou o relatório completo. Entretanto, ela sustentou que a análise não encontrou sinais de uso indevido da falha. Por essa razão, críticos pedem a publicação integral do código da correção. Eles também defendem a divulgação de documentação técnica detalhada sobre o incidente.

Resposta é comparada ao caso do Bitcoin Core

Dr. Stevenson comparou o episódio com a resposta do Bitcoin Core a uma vulnerabilidade semelhante em 2018. Naquele caso, os desenvolvedores revelaram primeiro o risco de falhas no sistema. Contudo, eles adiaram a divulgação da extensão do possível risco inflacionário. Assim, os operadores tiveram mais tempo para instalar as atualizações de segurança.

Listas de validadores alimentam debate sobre consenso

A discussão também tratou da influência das Unique Node Lists, usadas pela maioria dos operadores para escolher validadores confiáveis. Embora cada operador possa selecionar sua própria lista, as recomendações ainda moldam as configurações padrão da rede. Ainda assim, a Ripple opera apenas um validador na lista amplamente utilizada. O modelo mantém a escolha dos participantes, mas concentra parte da influência nas listas recomendadas.

Para aprovar mudanças relevantes, mais de 80% dos principais validadores precisam apoiar uma alteração durante pelo menos duas semanas. Portanto, uma única parte não consegue mudar unilateralmente as regras do livro-razão. Em contrapartida, a propriedade e a manutenção das listas recomendadas continuam gerando questionamentos. Esse desenho mantém o debate sobre descentralização e transparência no consenso.

As proteções, como o limite de 80% para alterações e as Unique Node Lists voluntárias, impedem que a Ripple altere sozinha as regras de consenso. Ainda assim, a administração das listas de validadores exerce influência relevante sobre as configurações padrão.

Críticos sustentam que a transparência integral permitiria avaliar melhor o incidente. Nesse sentido, eles consideram essenciais a divulgação rápida do código e uma análise técnica abrangente. Ao mesmo tempo, a auditoria relatada não encontrou criação não autorizada de XRP. Essas medidas poderiam esclarecer os riscos enfrentados pelos usuários e reforçar a confiança na plataforma.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.