Валидатор XRP Kuwait публично ответил критикам, которые обвинили экосистему XRP Ledger в скрытой централизации после почти синхронной установки экстренного обновления xrpld 3.4.1. Операторы узлов развернули критический патч безопасности практически одновременно, что вызвало в сообществе дискуссию о независимости валидаторов.
В заявлении XRP Kuwait подчёркивается, что скоординированная реакция на угрозу не равнозначна централизованному контролю. «Мы не согласны с утверждением, что координация обновления операторами сама по себе является доказательством централизованного контроля. Координация — это не контроль. Участие в скоординированном ответе не заменяет наше независимое суждение», — говорится в позиции валидатора.
Экстренные меры потребовались из-за уязвимости платёжного механизма, связанной с целочисленным переполнением. Ошибка существовала в коде с 2015 года: при обработке сотен торговых предложений итоговое значение превышало лимит переменной и обнулялось. В результате получатели получали полную сумму, а с отправителя списывался лишь небольшой «остаток»; разница фактически создавала новые, не обеспеченные эмиссией XRP. Встроенный механизм защиты — так называемая проверка инвариантов — не обнаружил проблему из-за аналогичного переполнения.
Ситуацию усугубило то, что защита была активирована на узлах сразу после обновления программного обеспечения, без общесетевого голосования. Это вызвало вопросы о том, насколько независимы валидаторы, если столь масштабные изменения могут обходить стандартные процедуры управления.
Второй патч закрыл уязвимость в механизме Batch (XLS-56), при которой серверы принимали внутренние транзакции без необходимой обёртки RawTransaction. Это угрожало расхождением версий программного обеспечения, спорами о консенсусе и потенциальной остановкой блокчейна. Исправление было привязано к поправке fixBatchV1_2, активированной в основной сети 9 октября.
По данным фонда XRPL, уязвимости были устранены до того, как о них узнали злоумышленники. Потери средств не зафиксированы, а серверы со старыми версиями теперь полностью заблокированы поправкой и отключены от синхронизации. В XRP Kuwait признали, что у XRPL есть системные проблемы с децентрализацией: «Мы не утверждаем, что у XRPL нет вызовов в децентрализации». При этом валидатор настаивает, что быстрая скоординированная защита стабильности реестра совместима с принципами технологической автономии и не означает утраты независимости.
