XRPL ha ritirato il suo emendamento Permission Delegation dopo che una segnalazione tramite bug bounty ha individuato una vulnerabilità ad alto rischio durante i test. Una versione V1.1 rafforzata sta ora completando la revisione di sicurezza e i controlli QA.
L’episodio dimostra perché la delega a livello di protocollo richieda garanzie che vadano oltre la funzionalità di base.
XRPL rivede Permission Delegation dopo una segnalazione di bug
Permission Delegation, nota come XLS-75, consente a un account di conferire a un altro account poteri specifici per agire per suo conto. Le autorizzazioni dovrebbero essere limitate, anziché dare al delegato il controllo dell’intero account.
J. Ayo Akinyele, responsabile dell’ingegneria di RippleX, ha spiegato che l’implementazione originale V1.0 è stata ritirata dopo che una vulnerabilità era stata segnalata tramite il programma bug bounty, prima di raggiungere la mainnet di XRPL. Invece di applicare una patch a quella versione, il team ha introdotto la V1.1 per separare l’implementazione originale dalla versione rafforzata.
Un ricercatore chiamato Shotes ha individuato un problema di gravità elevata relativo a permessi di delega irrevocabili: un delegato poteva eliminare il proprio account e ricrearlo in seguito, mantenendo i permessi che gli erano stati concessi da un altro account, senza che l’account originale avesse modo di revocarli.
Le modifiche vanno oltre la correzione di un singolo bug. La V1.1 risolve casi limite relativi all’identità dei delegati e impedisce che nuove funzionalità, tra cui le operazioni Vault e Lending, vengano delegate involontariamente. Corregge inoltre la contabilizzazione delle riserve per i pagamenti delegati e chiude un percorso di firma multipla che poteva aggirare i controlli sulla delega. Anche il comportamento della revoca è stato reso più rigoroso.
La revisione ha inoltre rilevato un overflow di interi senza segno di gravità media in isDelegable, che avrebbe potuto far interpretare un valore di autorizzazione non valido come un tipo di transazione delegabile. I ricercatori hanno tuttavia affermato che il problema non avrebbe avuto conseguenze significative in assenza di comportamenti scorretti da parte del delegante.
I test si estendono a tutta la superficie di delega di XRPL
Un rapporto QA pubblicato da Ramkumar SG il 26 agosto ha registrato 179 test dedicati alla Permission Delegation, tra cui 112 test funzionali, 48 test di sicurezza avversariali e 19 test di interazione tra funzionalità. I test hanno riguardato anche le interazioni con Batch, Confidential MPT, la coda delle transazioni e la firma multipla.
XRP Ledger Operations ha dichiarato che tutti i problemi rilevati erano stati risolti nella V1.1 e verificati dalla società di sicurezza Cantina. Il team QA ha inoltre segnalato l’assenza di regressioni in 5.088 test e ha osservato che non risultavano bug interni aperti classificati come critici, concludendo che la funzionalità era pronta per l’uso in produzione alla versione sottoposta a test.
La Delega delle autorizzazioni è stata introdotta a maggio 2025, contrassegnata come non supportata a settembre 2025 in attesa di una correzione di sicurezza, rinominata PermissionDelegationV1_1 a ottobre e nuovamente supportata a giugno 2026.
Come CryptoPotato riportato la scorsa settimana, un dashboard pubblico creato dallo sviluppatore Denis Angell monitora quanto a fondo vengono testate le modifiche di XRPL sulla devnet prima di arrivare alla mainnet, e la delega era tra quelle che aveva segnalato come incomplete.
Per gli utenti e i fornitori di servizi di custodia, la funzionalità prevista resta invariata. Come ha affermato Akinyele, V1.1 non cambia ciò che XLS-75 può fare; cambia invece le condizioni in cui tale funzionalità viene attivata.
Fonte: CryptoPotato
