XRP Ledger, toplam XRP arzının belirlenen sınırı aşmasına neden olabilecek bir yazılım açığını gidermek amacıyla 25 Eylül’de acil güvenlik güncellemesi yayımladı. Güncellemenin standart doğrulayıcı oylaması tamamlanmadan kullanıma sunulması, ağın güvenlik yaklaşımını ve merkeziyetsizlik yapısını tartışmaya açtı. Geliştiriciler ile XRP Ledger Foundation, olağan sürecin dışına çıkılmasını ciddi bir güvenlik riskini önleme gereğiyle açıklarken eleştirmenler karar alma mekanizmasını sorguladı.
İçerik
XRP Ledger Güvenlik Yaması Neden Aceleye Geldi?
Geliştiriciler, güvenlik açığıyla ilgili hata ödülü raporunu aldıktan üç gün sonra, 25 Eylül’de düzeltmeyi yayımladı. Güncellemeyi yükleyen sunucularda yama hemen devreye girdi. Ekip, bu adımın ağın on yılı aşkın süredir uyguladığı standart protokol değişikliği sürecinden bilinçli bir sapma olduğunu kabul etti.
Normal şartlarda protokol değişiklikleri, doğrulayıcıların yaklaşık iki hafta boyunca oy kullandığı bir mekanizmayla değerlendirilir. Geliştiricilere göre bu kez aynı prosedürü izlemek, açığın ayrıntılarının düzeltme etkinleşmeden önce kamuoyuna sızmasına yol açabilirdi. Böyle bir gecikme, kötü niyetli kişilere güvenlik açığından yararlanmak için zaman kazandırabilirdi.
XRP Ledger ekibi, X üzerinden yaptığı açıklamada riskin acil müdahale gerektirdiğini belirtti. Bununla birlikte olay, güvenlik gerekçesiyle alınan hızlı kararların merkeziyetsiz bir blok zincirinde hangi koşullarda uygulanması gerektiği sorusunu gündeme taşıdı.
Merkeziyetsizlik Eleştirilerine Vakıf Nasıl Yanıt Verdi?
Cyber Capital kurucusu Justin Bons, 25 Eylül’deki güncellemeyi eleştirerek XRP’nin bireysel yatırımcılara merkeziyetsiz bir proje olarak sunulmasını sorguladı. Bons, acil sürümün yalnızca ikili dosyalar biçiminde dağıtıldığını, kaynak kodunun geçici olarak erişilemez hâle geldiğini ve ağ operatörlerinin güncellemeyi yüklemeleri için baskı gördüğünü ileri sürdü.
XRP Ledger Foundation ise müdahalenin tek bir kuruluşun kararı olmadığını savundu. Vakfa göre RippleX, çekirdek geliştiriciler, doğrulayıcılar ve Foundation temsilcileri güvenlik riskini birlikte değerlendirdi. Taraflar, olağan değişiklik sürecini beklememenin daha güvenli olduğuna karar verdi.
Foundation ayrıca hiçbir kuruluşun bu kararı tek başına veremeyeceğini ve doğrulayıcılarla düğüm operatörlerinin hangi yazılımı çalıştıracaklarını kendilerinin seçtiğini vurguladı. Açıklamada, 3.4.1 sürümünün normal koşullarda zorunlu hâle gelmesi için olağan mekanizmanın, yani iki hafta boyunca doğrulayıcıların yüzde 80’inden fazlasının desteğinin gerektiği hatırlatıldı.
Bağımsız doğrulayıcı XRP Kuwait de birden fazla operatörün koordineli hareket etmesinin tek başına merkezi kontrol anlamına gelmediğini savundu. Operatöre göre bağımsız katılımcılar bir güvenlik sorununu birlikte değerlendirebilir ve ortak bir çözüm üzerinde anlaşabilir.
XRP Arzını Tehdit Eden Yazılım Hatası Nasıl Çalışıyordu?
Güvenlik raporuna göre açık, XRP Ledger’ın ödeme motorundaki bir tamsayı taşması hatasından kaynaklanıyordu ve 2015’ten beri sistemde bulunuyordu. XRP bakiyeleri, belirli bir üst sınıra sahip 64 bitlik tamsayılarla temsil ediliyordu. Bir hesaplama bu sınırı aştığında işlem beklenen şekilde başarısız olmak yerine daha küçük bir sonuç üretebiliyordu.
Saldırgan, bu davranışı kullanmak için özel fiyatlandırılmış yüzlerce teklif hazırlayabilirdi. Her teklif, çok yüksek miktarda XRP talep edecek şekilde düzenlenebilirdi. Daha sonra tek bir ödeme işlemi bu tekliflerin tamamını tükettiğinde ödeme motoru, teklif sahiplerine talep ettikleri miktarları aktarırken alıcıdan taşma nedeniyle küçülen çok düşük bir toplam tahsil edebilirdi.
Böylece aradaki fark, harcanabilir yeni XRP gibi ortaya çıkabilirdi. Ancak saldırının gerçekleşmesi için özel hazırlanmış tekliflerin kullanılması gerekiyordu; sıradan alım satım işlemleri açığı kendiliğinden tetiklemiyordu. Geliştiriciler ayrıca güvenlik açığının halka açık herhangi bir ağda kullanıldığına dair kanıt bulamadıklarını bildirdi.
XRP Yatırımcıları Bu Gelişmeyi Nasıl Değerlendirmeli?
Olay, XRP Ledger’ın güvenlik müdahaleleri ile merkeziyetsizlik ilkeleri arasında nasıl bir denge kurduğunu yeniden tartışmaya açtı. Bir yandan hızlı bir yama, olası arz manipülasyonunu önlemeyi amaçladı. Diğer yandan olağan oylama sürecinin atlanması, ağın yönetişim yapısının pratikte nasıl işlediğine dair sorular doğurdu.
Yatırımcılar, güvenlik açığının kullanıldığına ilişkin kanıt bulunmadığı bilgisini, potansiyel riskin ciddiyetinden ayrı değerlendirmeli. Ayrıca resmî teknik raporları ve güncelleme sürecine ilişkin açıklamaları takip ederek XRP ekosistemindeki gelişmeleri daha sağlıklı analiz edebilir. Bu içerik yatırım tavsiyesi değildir; kripto para piyasası yüksek risk taşır ve yatırım kararı öncesinde kendi araştırmanızı yapmanız gerekir.
