XRP Ledger corrige un fallo que permitía la creación no autorizada de tokens

El rastreador de enmiendas XRPLWin confirmó que la corrección, denominada fixCleanup3_4_0, entró en vigor el 4 de noviembre a las 14:52 UTC, en el ledger 108.112.129. La activación se produjo tras dos semanas consecutivas de apoyo de los validadores, después de que una breve interrupción en octubre obligara a la red a reiniciar su proceso de aprobación.

La corrección aborda una falla en el sistema de delegación de permisos de XRP Ledger, que permite a los titulares de cuentas autorizar a otras cuentas a realizar transacciones específicas sin ceder el control total.

XRP Ledger corrige una vulnerabilidad de creación no autorizada de tokens

La vulnerabilidad afectaba a un permiso delegado llamado PaymentBurn, que permite a una cuenta aprobada destruir tokens emitidos por otra cuenta.

En circunstancias normales, un emisor podría otorgar ese permiso a un servicio de pago que gestione el canje de stablecoins. Cuando un cliente cambia stablecoins por dólares, el servicio podría destruir los tokens canjeados sin recibir permiso para crear reemplazos.

Sin embargo, las reglas de transacción anteriores de XRP Ledger podían permitir que una cuenta con solo autorización PaymentBurn creara tokens emitidos bajo ciertas condiciones.

El problema surgía cuando los pagos que usaban el permiso delegado cruzaban un límite de saldo cero. La última enmienda impide que las transacciones crucen ese límite, separando la destrucción de tokens de la emisión.

Las notas de la versión oficial de XRPL describen la corrección como el rechazo de "pagos PaymentBurn que cruzan un saldo cero".

La vulnerabilidad afectaba a los activos emitidos en la red, incluidas las stablecoins, los tokens de líneas de confianza y los tokens multipropósito. XRP en sí estaba fuera del sistema de permisos afectado, lo que significa que la falla no permitía la creación no autorizada de la criptomoneda nativa de la red.

No se ha informado de ninguna explotación confirmada públicamente de la vulnerabilidad, y las divulgaciones disponibles no identifican a ningún emisor que haya sufrido una creación no autorizada de tokens.

La corrección sigue a la falla de acuñación de tokens previamente revelada por la red, que crypto.news cubrió el 2 de noviembre cuando la enmienda aún estaba pendiente de activación.

El retraso en la aprobación de los validadores pospuso la corrección hasta noviembre

Aunque los desarrolladores incluyeron la corrección en la versión 3.4.0 del servidor de XRP Ledger en septiembre, su lanzamiento no cambió de inmediato las reglas de transacción de la red.

Las enmiendas de protocolo requieren el apoyo de más del 80% de los validadores de confianza durante 14 días consecutivos antes de activarse.

Con 35 validadores en la lista predeterminada rastreada, al menos 29 deben apoyar una enmienda durante todo ese período.

El primer período de aprobación comenzó el 9 de octubre, lo que encaminaba la actualización para su activación alrededor del 23 de octubre.

Sin embargo, el apoyo de los validadores cayó por debajo del umbral requerido el 21 de octubre, interrumpiendo la cuenta regresiva antes de que la enmienda fuera elegible para su activación.

Los registros de XRPLWin muestran que el primer intento duró 12 días y tres horas. Una nueva mayoría se estableció más tarde el 21 de octubre, comenzando otro período de espera de dos semanas.

El segundo intento duró 14 días y cinco minutos antes de que la red habilitara la enmienda el 4 de noviembre.

El proceso de votación de XRP Ledger requiere un apoyo ininterrumpido, por lo que incluso una caída temporal por debajo del umbral puede posponer una actualización.

La actualización de software repara los controles de negociación y transacciones

Más allá de la vulnerabilidad de creación de tokens, fixCleanup3_4_0 introduce correcciones en varias funciones de transacción de XRP Ledger.

Entre ellas se incluyen cambios en los clawbacks de los creadores de mercado automatizados, que los emisores utilizan para recuperar ciertos activos de los fondos de liquidez.

La actualización evita que una transacción destruya los tokens de un proveedor de liquidez cuando los cálculos de redondeo darían como resultado que el emisor no recuperara ningún activo subyacente.

Los desarrolladores corrigieron las reglas de negociación con permisos para evitar que las cuentas reciban ciertos tokens a través de ofertas cuando las restricciones del emisor deberían bloquear esas transacciones.

Otros cambios abordan las reservas de depósito en garantía, la autorización de tokens multipropósito y las firmas de transacciones.

Anteriormente, algunos procedimientos de firma utilizaban estructuras de autorización superpuestas. La enmienda introduce prefijos de firma distintos para evitar que las firmas destinadas a un rol de transacción se reutilicen en otro.

Estas correcciones se incluyeron en la versión de software de septiembre, y los desarrolladores instaron a los operadores de servidores a actualizar su software antes de que las nuevas reglas entraran en vigor.

Los préstamos de XRP Ledger siguen sujetos a una aprobación separada

La activación incluye correcciones contables destinadas a las bóvedas de activo único y al protocolo de préstamos propuesto de XRP Ledger.

El sistema de bóvedas permitiría a los usuarios depositar activos en fondos que podrían respaldar préstamos a plazo fijo. Los desarrolladores han ajustado los cálculos relacionados con depósitos, retiros y activos recuperables.

Las correcciones relacionadas con los préstamos abordan cómo la red determina cuándo los pagos se vuelven vencidos y cómo los préstamos deteriorados afectan la contabilidad de las bóvedas.

Sin embargo, la enmienda de mantenimiento no activa esas funciones de préstamo, que requieren una aprobación separada de los validadores.

Ripple apoyó anteriormente las enmiendas de préstamos diseñadas para introducir bóvedas de activo único y préstamos institucionales a plazo fijo.

Las propuestas permitirían a los intermediarios de préstamos evaluar a los prestatarios y concertar préstamos utilizando activos depositados en bóvedas, mientras que el ledger registra los reembolsos y las transacciones asociadas.

La enmienda adicional LendingProtocolV1_1 propone bóvedas cerradas con períodos de suscripción, inversión y reembolso, junto con una contabilidad que reconoce los intereses cuando los prestatarios realizan pagos.

Cada enmienda de préstamo debe cumplir de forma independiente los requisitos de aprobación de los validadores de la red antes de que sus funciones asociadas puedan operar en la red principal.