ریپل‌ایکس دو قابلیت با حفره‌های امنیتی حیاتی را بازمی‌گرداند: آیا اعتبارسنج‌ها اعتماد خواهند کرد؟

ریپل‌اکس دو ویژگی با نقص‌های امنیتی حیاتی را بازمی‌گرداند: آیا اعتبارسنج‌ها به بازنویسی اعتماد خواهند کرد؟

در آخرین اخبار مربوط به XRP، ریپل‌اکس (RippleX) انتظار دارد نسخه xrpld 3.3.0 را در هفته اول آگوست ۲۰۲۶ منتشر کند. این به‌روزرسانی شامل پنج اصلاحیه برای بررسی اعتبارسنج‌ها خواهد بود، از جمله نسخه‌های بازنویسی شده Batch و Permission Delegation. هر دوی این ویژگی‌ها پیش از فعال‌سازی در شبکه اصلی به دلیل کشف نقص‌های امنیتی حیاتی در مجوزهای اصلی توسط محققان امنیتی، مسدود شده بودند.

هیچ وجهی از دست نرفته است. اکنون این سوال مطرح است که آیا اکوسیستم به اندازه کافی اعتماد دارد تا این بازنویسی‌ها بتوانند آستانه ۸۰ درصدی اعتبارسنج‌ها را پشت سر بگذارند.

اصلاحیه اصلی Batch دارای یک اشکال در اعتبارسنجی امضا بود که به مهاجم اجازه می‌داد تراکنش‌های داخلی را از حساب‌های قربانی دلخواه اجرا کند، بدون اینکه نیازی به کلید خصوصی آن‌ها داشته باشد.

طبق اعلام رسمی افشای آسیب‌پذیری XRPL، پرانمیا کشکامات (Pranamya Keshkamat) و ابزار ممیزی خودکار Apex متعلق به Cantina AI، این نقص را در ۱۹ فوریه ۲۰۲۶، زمانی که اصلاحیه هنوز در مرحله رأی‌گیری بود، شناسایی کردند.

به اعتبارسنج‌های UNL همان شب توصیه شد که به آن رأی منفی دهند؛ یک انتشار اضطراری، rippled 3.1.1، هر دو اصلاحیه Batch و fixBatchInnerSigs مرتبط را به عنوان پشتیبانی‌نشده علامت‌گذاری کرد تا از هرگونه مسیر فعال‌سازی جلوگیری شود.

XRPL پیش از این ثابت کرده است که می‌تواند دارایی‌های توکنیزه شده را در مقیاس پشتیبانی کند. اکنون زمان آن رسیده است که از این دارایی‌ها استفاده شود: انتقال جهانی، معاملات، وثیقه‌گذاری و تسویه. انتشار آتی xrpld 3.3.0 شامل پنج اصلاحیه است که XRPL را به طور قابل توجهی به این هدف نزدیک‌تر می‌کند.

علت اصلی، خطای خروج از حلقه در منطق اعتبارسنجی امضا بود: هنگامی که کد با یک حساب جدید مواجه می‌شد که کلید امضای آن با کلید خود حساب مطابقت داشت، موفقیت را اعلام کرده و خارج می‌شد، بدون اینکه امضاکنندگان باقی‌مانده را بررسی کند. این بدان معنا بود که یک ورودی امضاکننده جعلی برای هر حساب قربانی هرگز بررسی نمی‌شد.

مسیر سوءاستفاده به مهاجم اجازه می‌داد تا با تراکنش‌های پرداخت غیرمجاز، حساب قربانی را تا حد ذخیره آن تخلیه کند. جایگزین آن، BatchV1_1، منطق مجوزدهی را بازطراحی می‌کند و اکنون در رجیستری توسعه 3.3 به عنوان پشتیبانی‌شده با رأی پیش‌فرض “خیر” در انتظار تأیید اعتبارسنج‌ها علامت‌گذاری شده است.

Permission Delegation سطح حمله متفاوتی را آشکار کرد. افشای سپتامبر ۲۰۲۵ مستند کرد که چگونه یک تراکنش امضاشده آفلاین نامعتبر همچنان می‌توانست از حساب تفویض‌شده هزینه تراکنش را دریافت کند، پیش از اینکه مجوز آن رد شود، زیرا کد مجوزها را پیش از تأیید امضا بررسی می‌کرد و خطاهای نوع tec طبق طراحی هزینه دارند.

یک عامل مخرب می‌توانست به طور مکرر چنین تراکنش‌هایی را با هزینه‌های افزایش‌یافته ارسال کند تا به طور خاموش موجودی XRP حساب قربانی را کاهش دهد. رفع این مشکل، خطا را از tec به ter مجدداً طبقه‌بندی کرده و بررسی‌ها را مجدداً مرتب می‌کند تا هیچ هزینه‌ای پیش از تأیید امضا کسر نشود.

جایگزین آن، PermissionDelegationV1_1، همان تعیین پیش‌فرض “خیر” را در رجیستری 3.3.0 دارد. این الگوی شناسایی اشکالات پیش از شبکه اصلی با روند کلی نگهداری امنیتی XRPL مطابقت دارد، که شاهد انتشار چندین وصله فوری برای رفع مسائل در سطح پروتکل پیش از فعال‌سازی بوده است.

سه اصلاحیه باقی‌مانده، افزودنی‌های جدیدی هستند که بازار توکنیزاسیون نهادی را هدف قرار می‌دهند. Confidential MPT از رمزنگاری منحنی بیضوی و اثبات‌های دانش صفر برای موجودی‌ها و مبالغ انتقال توکن چندمنظوره استفاده می‌کند و آن‌ها را در دفتر کل عمومی محرمانه نگه می‌دارد، در حالی که برای نهادهای تعیین‌شده، مانند رگولاتورها، قابل حسابرسی باقی می‌ماند.

این امر به رایج‌ترین اعتراض موسسات مالی که زیرساخت‌های بلاک‌چین عمومی را ارزیابی می‌کنند، پاسخ می‌دهد: اینکه ریسک طرف مقابل برای همه قابل مشاهده است.

این ویژگی اوراق قرضه دولتی توکنیزه شده، املاک و مستغلات، سهام و اعتبار خصوصی را هدف قرار می‌دهد، کلاس‌های دارایی که محرمانگی یک الزام عملیاتی پایه است، نه یک ترجیح. تلاش گسترده‌تر XRPL در این فضا در حال حاضر در جریان است و توسعه زیرساخت فعال برای توکنیزاسیون بازارهای سرمایه در XRP Ledger وجود دارد.

XRP در آستانه یک هفته نرم‌افزاری مهم دیگر قرار دارد، زیرا xrpld 3.3.0 آماده انتشار است. انتظار می‌رود این به‌روزرسانی بین ۳ تا ۹ آگوست منتشر شود و پنج تغییر پیشنهادی را در اختیار اعتبارسنج‌ها قرار دهد. یکی از این تغییرات به حداکثر هشت تراکنش اجازه می‌دهد تا به عنوان یک واحد تکمیل شوند.

Sponsored Fees and Reserves به بانک، صادرکننده یا پلتفرم اجازه می‌دهد تا هزینه‌های تراکنش و الزامات ذخیره را به نمایندگی از کاربران خود پوشش دهد و نیاز کاربران نهایی به نگهداری XRP پیش از انجام تراکنش را از بین می‌برد.

این امر اصطکاک ورود به سیستم را برای استقرار نهادی به طور قابل توجهی کاهش می‌دهد، اگرچه بحث ساختاری را نیز دوباره باز می‌کند: اگر کاربران نهایی دیگر برای تعامل با دفتر کل نیازی به XRP نداشته باشند، پویایی تقاضا به سمت حجم تسویه نهادی به جای کاربرد خرده‌فروشی توکن تغییر می‌کند. این نتیجه تا زمانی که اصلاحیه فعال نشود و موسسات واقعاً آن را مستقر نکنند، نه تأیید و نه رد می‌شود.

Dynamic MPT سومین شکاف را پر می‌کند و به صادرکنندگان توکن اجازه می‌دهد تا ویژگی‌ها، هزینه‌ها، فراداده‌ها و پارامترهای از پیش تعریف‌شده مشخص شده را پس از صدور، بدون نیاز به مهاجرت به یک توکن جدید، اصلاح کنند.

جازی کوپر (Jazzi Cooper)، رئیس محصول ریپل‌اکس، پنج اصلاحیه را در X اعلام کرد و XRPL را به عنوان سیستمی توصیف کرد که پیش از این توانایی خود را در پشتیبانی از دارایی‌های توکنیزه شده در مقیاس نشان داده است و ویژگی‌های جدید را به عنوان لایه زیرساختی برای انتقال جهانی، معاملات، وثیقه‌گذاری و تسویه معرفی کرد.

کوپر تأیید کرد که هر پنج مورد برای فعال‌سازی نیاز به رأی اعتبارسنج‌ها دارند.