Un fallo que se cree presente en el XRP Ledger desde 2015 podría haber creado XRP de la nada. Se corrigió sin indicios de que nadie lo aprovechara

El XRP Ledger arrastraba un fallo, al parecer durante más de una década, que podría haber permitido a un atacante crear XRP de la nada, revelaron sus desarrolladores el viernes. Un informe en xrpl.org sitúa el origen del fallo en el motor de pagos escrito en 2015, dice que se corrigió el mes pasado y que no hay pruebas de que se aprovechara en ninguna red pública.

El problema era aritmético. Cuando un solo pago compraba muchas ofertas en el exchange integrado del libro mayor, el software sumaba el XRP adeudado sin comprobar si el total había crecido demasiado para poder contarse. Un total lo bastante grande se desbordaba y volvía a un número pequeño. Los vendedores cobraban íntegramente, al comprador solo se le cobraba la cifra pequeña y la diferencia era XRP nuevo. El control de seguridad destinado a detectar la creación de XRP se basaba en la misma suma defectuosa.

Un atacante habría necesitado unos cientos de cuentas, cada una ofreciendo una cantidad mínima de un token a cambio de una cantidad muy grande de XRP. El costo eran unos cientos de XRP en reservas de cuenta, que se devuelven, más las comisiones de transacción, dice el informe.

El investigador Cayden Liao y Veria AI notificaron el fallo el 22 de septiembre. Los ingenieros de RippleX, el área de desarrollo de Ripple, lo reprodujeron y lo calificaron de crítico. La corrección salió en xrpld 3.4.1 el 25 de septiembre y entró en vigor en cada servidor a medida que se actualizaba. Más del 80 % de los validadores de la lista predeterminada la usaban ese mismo día.

Se supone que la oferta de XRP está fijada en 100.000 millones, señaló CoinDesk. Se pide a los operadores que siguen con software antiguo que actualicen.