Команда XRP Ledger отозвала обновление Permission Delegation (XLS-75) после того, как исследователь через программу bug bounty обнаружил высокорисковую уязвимость. Вместо патча существующей версии разработчики создали V1.1 с углублённой защитой, которая в настоящий момент проходит финальную проверку и тестирование.
Функция делегирования позволяет одному аккаунту дать другому аккаунту строго определённые полномочия действовать от его имени — но не контролировать весь счёт целиком. Исследователь по имени Shotes нашёл критическую уязвимость: делегированный аккаунт мог удалить себя, а затем заново создать, сохраняя при этом все выданные ему права. Владелец исходного аккаунта не имел способа отозвать такие разрешения.
Что изменилось в новой версии
Исправления в V1.1 выходят далеко за рамки единственной ошибки. Обновление закрывает лазейки с идентификацией делегированных аккаунтов и блокирует случайное делегирование новых функций — Vault и операций кредитования. Также исправлена ошибка в подсчёте резервов для делегированных платежей и перекрыт способ обхода проверок делегирования через систему многоподписей.
Во время проверки нашли и среднесерьёзную ошибку с переполнением целого числа без знака, которая теоретически позволила бы неправильно сформированному значению прав интерпретироваться как допустимый тип транзакции. Но, по оценке экспертов, реальная опасность минимальна без прямого вмешательства владельца аккаунта.
Масштабное тестирование
Отчёт QA от 26 августа подтвердил 179 специальных тестов Permission Delegation: 112 функциональных, 48 тестов на устойчивость к атакам и 19 кросс-функциональных. Проверили взаимодействие с Batch, Confidential MPT, очередью транзакций и многоподписями. Компания Cantina провела независимую проверку безопасности и подтвердила, что все найденные проблемы устранены.
XRP Ledger Operations сообщила, что из 5 088 регрессионных тестов не выявлено ни одного отката функциональности. Критических ошибок во внутренних системах не обнаружено — функция готова к боевому использованию на текущей версии кода.
Глава инженерной группы RippleX Айо Акиньеле подчеркнул: V1.1 не меняет возможности XLS-75, но меняет условия, при которых эта возможность активируется.
Permission Delegation была представлена в мае 2025 года, в сентябре отмечена как неподдерживаемая в ожидании исправления безопасности, в октябре переименована в PermissionDelegationV1_1 и снова включена в поддержку в июне 2026 года.