XRP Ledger difende la patch d’emergenza contro il bug degli XRP illimitati
Ultime notiziePubblicato12 ott 2026
La XRP Ledger Foundation ha respinto le accuse secondo cui la sua patch di sicurezza d’emergenza sarebbe stata imposta agli operatori della rete.
Gli sviluppatori di XRP Ledger hanno difeso la patch di sicurezza d’emergenza utilizzata per correggere un bug capace di creare XRP oltre la quantità fissa della rete, affermando che non potevano attendere il consueto voto di due settimane dei validatori della rete senza esporre la falla agli aggressori.
La correzione, rilasciata il 25 settembre, è arrivata tre giorni dopo una segnalazione di bug bounty e ha avuto effetto immediato su qualsiasi server su cui fosse stata installata. È stato il primo bypass deliberato del normale processo di emendamento da quando il sistema è stato introdotto più di dieci anni fa, hanno affermato.
«Con una normale votazione su un emendamento, la correzione sarebbe stata pubblica per settimane prima di entrare in vigore, mettendo a rischio la sicurezza della rete», hanno affermato gli sviluppatori di XRPL in un post su X domenica.
La correzione accelerata ha sollevato interrogativi sul livello di decentralizzazione di XRPL. Sul suo sito web, XRPL sostiene di essere una blockchain pubblica completamente decentralizzata — una caratterizzazione che è stata centrale nelle argomentazioni secondo cui il suo token nativo, XRP, non è un titolo finanziario.
La correzione di sicurezza di XRPL «ha sollevato molte domande»
Giovedì Justin Bons, fondatore di Cyber Capital, ha affermato che presentare XRP agli investitori retail come decentralizzato equivalesse a una «frode bella e buona». Ha sostenuto che il rilascio d’emergenza del 25 settembre fosse stato distribuito solo come binari, che il codice sorgente fosse stato temporaneamente trattenuto e che gli operatori fossero stati sottoposti a pressioni affinché effettuassero l’aggiornamento.
Tuttavia, la XRPL Foundation ha affermato che la decisione di saltare il normale processo di emendamento è stata presa congiuntamente dalla Foundation, da RippleX, dagli sviluppatori principali e dai validatori, dopo aver valutato la gravità del bug.
«Nessuna singola parte avrebbe potuto prendere quella decisione da sola. Ogni validatore e operatore di nodo sceglie quale software eseguire, e la versione 3.4.1 è diventata obbligatoria solo attraverso una normale votazione su un emendamento, con il sostegno di oltre l’80% dei validatori per due settimane. Le modifiche al protocollo passano ancora attraverso gli emendamenti», ha affermato la fondazione.
XRP Kuwait, un operatore indipendente di validatori, ha inoltre respinto le accuse secondo cui gli aggiornamenti coordinati avrebbero indicato un controllo centralizzato.
«Non siamo d’accordo con l’affermazione secondo cui il fatto che gli operatori coordinino un aggiornamento costituisca, di per sé, una prova di controllo centralizzato», ha dichiarato. «Coordinamento non significa controllo. Gli operatori indipendenti possono valutare una situazione, comunicare tra loro e arrivare alla stessa conclusione senza rinunciare alla propria indipendenza».
Il bug avrebbe potuto coniare XRP illimitati
Il bug era un overflow intero nel motore dei pagamenti di XRP Ledger, presente dal 2015, secondo il rapporto di divulgazione della vulnerabilità del progetto, che attribuisce a Cayden Liao, cofondatore di Veria Labs, la scoperta originale del bug.
I saldi di XRP sono memorizzati come interi a 64 bit con un limite massimo fisso. Quando una somma superava quel limite, il calcolo ricominciava da un numero più piccolo invece di fallire.
Un aggressore avrebbe potuto sfruttare la vulnerabilità creando centinaia di offerte con prezzi appositamente determinati, ciascuna delle quali richiedeva una quantità molto elevata di XRP, e inviando poi un unico pagamento che le consumasse tutte.
Il motore avrebbe accreditato a ciascun proprietario dell’offerta l’intero importo, addebitando però all’acquirente solo il piccolo totale risultante dal ritorno del calcolo. La differenza sarebbe stata costituita da XRP di nuova creazione e spendibili.
Secondo il rapporto, l’attacco richiedeva offerte costruite deliberatamente e non poteva essere attivato dalle normali attività di trading. Gli sviluppatori hanno affermato di non aver trovato prove che il problema fosse stato sfruttato su alcuna rete pubblica.
Cointelegraph si impegna a favore di un giornalismo indipendente e trasparente. Questo articolo di notizie è realizzato in conformità con la Politica Editoriale di Cointelegraph e mira a fornire informazioni accurate e tempestive. I lettori sono invitati a verificare le informazioni in modo indipendente. Consulta la nostra Politica Editoriale https://cointelegraph.it/editorial-policy
Altro sull'argomento
