XRPL виправляє делегування дозволів після виявлення критичного багу

XRPL відкликав свою поправку щодо делегування дозволів після того, як звіт про виявлену уразливість виявив серйозну проблему під час тестування; наразі проводить перегляд безпеки та QA нова версія V1.1.

Інцидент підкреслює необхідність забезпечень для делегування на рівні протоколу. Делегування дозволів, відоме як XLS-75, дозволяє одному акаунту надавати іншому акаунту специфічні повноваження діяти від його імені.

Повноваження повинні бути обмеженими, а не надавати делегату контроль над усім акаунтом. Голова інженерії RippleX, J.

Ayo Akinyele, пояснив, що початкову версію V1.0 відкликали після повідомлення про вразливість, виявлену у програмі винагороди за помилки, до того, як вона потрапила на XRPL mainnet.

Замість виправлення цієї версії команда представила V1.1, щоб відокремити оригінальну реалізацію від покращеної версії. Дослідник Шотес виявив серйозну проблему з неповертаючими делегатними дозволами, що дозволяло делегату видаляти свій акаунт і пізніше відновлювати його, зберігаючи всі надані йому дозволи без можливості їх скасування первинним акаунтом. Зміни охоплюють не лише одну вразливість.

Версія V1.1 вирішує питання ідентичності делегата та запобігає ненавмисному делегуванню нових можливостей, таких як Vault і Lending.

Вона також виправляє обліку резервів для делегованих платежів і закриває можливість обходу перевірок делегування через мультипідпис. Дослідження виявило і середню вразливість, пов’язану з переповненням беззнакового цілого в isDelegable, яка могла дозволити неформатоване значення дозволу трактуватися як тип транзакції, але дослідники зазначили, що ця проблема не мала суттєвого впливу без неналежної поведінки делегата. Звіт QA, опублікований 26 серпня, зафіксував 179 тестів, присвячених делегуванню дозволів, включаючи 112 функціональних тестів та 48 тестів на безпеку.

Всі виявлені проблеми були виправлені у V1.1 і перевірені безпековою фірмою Cantina.

Команда QA повідомила, що не виявила регресій між 5088 тестами. Делегування дозволів було впроваджено у травні 2025 року, позначене як несприятливе у вересні 2025 року перед очікуваним виправленням безпеки, перейменоване в PermissionDelegationV1_1 у жовтні і повторно підтримане в червні 2026 року.

Для користувачів та постачальників послуг функціональний потенціал залишився незмінним.

Як зазначив Акіньєле, версія V1.1 не змінює те, що може зробити XLS-75, а просто змінює умови, за яких ця можливість активується.