Помилка могла дозволити валідацію некоректно налаштованого підпису без вимоги приватних ключів усіх інших залучених облікових записів.
Batch V1.1 майже готовий до активації
Правка Batch V1.1 для XRP Ledger потребує лише одного голосу валідатора для досягнення 80% порогу, необхідного для запуску 14-денного зворотного відліку активації. Це сталося після доопрацювання безпеки, спричиненого критичною вразливістю в початковій версії.
Оновлений код пройшов перевірку провідними інженерами, тестування з боку супротивників, два зовнішні огляди безпеки та аналіз за допомогою штучного інтелекту перед поточним голосуванням валідаторів.
Розробник RippleX Майюка Вадарі повідомив, що правка була включена до версії xrpld 3.3.0 і наразі виставлена на голосування. Оновлення замінює Batch V1.0, в якому в лютому була виявлена помилка перевірки підписів. На той час правка ще не була розгорнута в основній мережі, тому жодні кошти не були під загрозою.
Початкова вразливість полягала в ранньому виході з функції checkBatchSign. Якщо обліковий запис підписувача ще не існував у реєстрі, валідація могла повернути успіх без перевірки решти підписів. Це могло дозволити виконання транзакцій від імені інших облікових записів без їхніх приватних ключів.
Batch V1.1 усунув цю помилку, а також вирішив низку інших проблем, виявлених під час доопрацювання. Процес включав перевірку чотирма старшими інженерами, атаку Batch Attackathon від Sherlock, повторну оцінку від Halborn, аудит Common Prefix, сканування Cantina AI та регресійне тестування на Devnet і testnet.
Вадарі також зазначив, що команда виправила додаткові помилки, виявлені під час новішої роботи з червоними командами ШІ. Зміни включають виправлення для обходу перевірки MPT, збоїв вузлів, перевірки розміру шляху, перевірки підпису, порядку підписантів та хешування транзакцій.
Настрій валідаторів близький до необхідного порогу. Один обліковий запис, FrancisBovineSwift, описав голосування за Batch як «майже готове». Останній знімок показує, що 27 довірених валідаторів проголосували за правку, а вісім — проти, що становить приблизно 77% підтримки проти необхідних 80% для затвердження змін. Потрібен лише ще один голос, щоб досягти цієї позначки.
Чому правка Batch важлива для розробників XRPL
Batch, також відомий як XLS-56, дозволяє виконувати кілька транзакцій від різних облікових записів атомарно в одному закритті реєстру. Якщо одна транзакція в пакеті «все або нічого» зазнає невдачі, вся операція скасовується. Дизайн не вимагає смарт-контрактів.
Ця функція призначена для атомарних свопів, узгоджених розрахунків та інших транзакцій, де кілька сторін повинні діяти спільно. Вона також може зменшити кількість кроків, необхідних для створення та передачі NFT.
Доопрацювання безпеки відбулося після недавньої перевірки XRPL, коли мережа відкликала свою правку делегування дозволів через критичну помилку, виявлену до розгортання в основній мережі. V1.1 пройшла додаткову перевірку.
Крім того, запущена цього місяця панель тестування XRPL зробила тестування правок більш видимим, відстежуючи, які типи транзакцій, поля та коди результатів були використані в Devnet.