XRPL corrige delegação de permissões após descoberta de falha crítica

A XRPL retirou sua emenda de Delegação de Permissões após um relatório de recompensa por bugs revelar uma falha de alto risco durante os testes. Uma versão V1.1 reforçada está concluindo a revisão de segurança e as verificações de QA.

O episódio mostra por que a delegação no nível do protocolo precisa de salvaguardas que vão além do próprio recurso básico.

XRPL reformula a Delegação de Permissões após relatório de bug

A Delegação de Permissões, conhecida como XLS-75, permite que uma conta conceda a outra poderes específicos para agir em seu nome. As permissões devem ser limitadas, em vez de dar ao delegado controle sobre toda a conta.

J. Ayo Akinyele, chefe de engenharia da RippleX, explicou que a implementação original V1.0 foi retirada após uma vulnerabilidade ser relatada pelo programa de recompensa por bugs, antes de chegar à mainnet da XRPL. Em vez de corrigir essa versão, a equipe introduziu a V1.1 para separar a implementação original da versão reforçada.

Um pesquisador chamado Shotes encontrou um problema de alta gravidade envolvendo permissões irrevogáveis de delegado: um delegado poderia excluir sua conta e recriá-la posteriormente, mantendo as permissões que outra conta lhe havia concedido, sem que a conta original pudesse revogá-las.

As mudanças vão além de um único bug. A V1.1 corrige casos extremos relacionados à identidade do delegado e impede que novos recursos, incluindo operações de Vault e Lending, sejam delegados sem intenção. Também corrige a contabilização de reservas para pagamentos delegados e fecha uma rota de assinatura múltipla que poderia contornar as verificações de delegação. O comportamento de revogação também foi reforçado.

A revisão também encontrou um overflow de inteiro sem sinal de gravidade média em isDelegable, que poderia fazer com que um valor de permissão malformado fosse interpretado como um tipo de transação delegável, embora os pesquisadores tenham dito que o problema não teria impacto significativo sem uma conduta indevida por parte de quem delega.

Os testes se ampliam por toda a superfície de delegação do XRPL

Um relatório de QA publicado por Ramkumar SG em 26 de agosto registrou 179 testes específicos de Delegação de Permissões, incluindo 112 testes funcionais, 48 testes de segurança adversariais e 19 testes entre recursos. Os testes também abrangeram interações com Batch, Confidential MPT, a fila de transações e assinaturas múltiplas.

A XRP Ledger Operations informou que todas as descobertas haviam sido corrigidas na V1.1 e verificadas pela empresa de segurança Cantina. Sua equipe de QA também relatou não haver regressões em 5.088 testes e observou que não havia bugs internos em aberto classificados como críticos, concluindo que o recurso estava pronto para uso em produção no nível de commit testado.

A Delegação de Permissões foi introduzida em maio de 2025, marcada como não suportada em setembro de 2025 enquanto aguardava uma correção de segurança, renomeada para PermissionDelegationV1_1 em outubro e voltou a ser suportada em junho de 2026.

Como CryptoPotato relatado na semana passada, um painel público criado pelo desenvolvedor Denis Angell vem monitorando o quanto as emendas do XRPL são testadas na devnet antes de chegarem à mainnet, e a delegação estava entre as emendas que ele havia sinalizado como incompletas.

Para usuários e provedores de custódia, a funcionalidade pretendida continua a mesma. Como Akinyele explicou, a V1.1 não altera o que a XLS-75 pode fazer; em vez disso, altera as condições em que essa funcionalidade é ativada.

Fonte: CryptoPotato