Der Blockchain-Ermittler ZachXBT hat die Prämie von 250.000 US-Dollar kritisiert, die den Forschern für die Aufdeckung einer kritischen Schwachstelle im XRP Ledger gezahlt wurde, und argumentiert, dass die Auszahlung im Verhältnis zum möglichen Schaden unverhältnismäßig gering gewesen sei.

In einem Beitrag vom 12. Oktober auf X stellte ZachXBT die Frage, warum ein Forscher, der eine Schwachstelle verantwortungsvoll gemeldet hatte, die XRP über die vorgesehene Versorgung hinaus hätte erzeugen können, nur eine Viertelmillion Dollar erhielt.

"Cheaply paying the whitehat $250K for a critical infinite XRP supply bug when your treasury has billions?", schrieb er.

Er warnte, dass eine unzureichende Vergütung künftige Offenlegungen abschrecken und bösartige Akteure möglicherweise dazu verleiten könnte, Schwachstellen auszunutzen, statt sie zu melden. ZachXBT stellte zudem die Glaubwürdigkeit von Ripple und des gesamten XRP-Ledger-Ökosystems in Bezug auf deren Umgang mit Sicherheitsanreizen in Frage. Die Höhe von Prämien ist in der Softwaresicherheit ein wiederkehrendes Streitthema, bei dem Prämienobergrenzen in der Regel vorab vom fördernden Unternehmen festgelegt werden, während die potenziellen Kosten eines ungepatchten Fehlers weit höher ausfallen können.

250.000 Dollar waren die maximal verfügbare Prämie

Die Kritik folgte auf eine Antwort der XRP Ledger Foundation, die sich mit der Schwachstelle und ihrer Notfallbehebung befasste.

Die Sicherheitsforscher Cayden Liao und Veria AI entdeckten die Schwachstelle am 21. September und reichten sie am Folgetag über das XRPL Bug Bounty Programm ein. Veria Labs bestätigte am 8. Oktober, dass es 250.000 US-Dollar erhalten habe, den Höchstbetrag des Programms, und teilte mit, dass ein KI-Sicherheitsagent die Schwachstelle identifiziert und einen funktionierenden Proof of erstellt habe. Bug-Bounty-Programme dieser Art sind ein branchenüblicher Mechanismus zur Vergütung verantwortungsvoller Offenlegung, wobei Auszahlungsgrenzen vom Sponsor des Programms festgelegt werden.

Das Unternehmen schätzte, dass eine einzige bösartige Transaktion rund 18 Billionen XRP hätte erzeugen können – mehr als das 180-Fache der ursprünglichen Versorgung der Kryptowährung von 100 Milliarden. Veria Labs bezeichnete die Zahlung zudem als die größte Prämie, die dem Unternehmen bekannt sei für eine Schwachstelle, die vollständig von einem KI-Agenten entdeckt wurde.

ZachXBTs Kritik zielt auf die Lücke zwischen der Prämienobergrenze und den möglichen wirtschaftlichen Folgen eines Angriffs ab. Seine Warnung betrifft die Anreize für künftige Forscher und nicht den Vorwurf, dass das Team hinter dieser Offenlegung unsachgemäß gehandelt habe.

XRP-Ledger-Bug bestand seit 2015

Die umstrittene Zahlung bezieht sich auf eine kritische Schwachstelle in der Payment-Engine, die mehr als ein Jahrzehnt unentdeckt blieb. Der Fehler betraf einen Integer-Overflow – eine Fehlerklasse, die auftritt, wenn eine Berechnung den maximal speicherbaren Wert eines numerischen Feldes überschreitet –, der ausgelöst werden konnte, wenn eine speziell konstruierte Zahlung hunderte Offers von der dezentralen Börse des XRP Ledger verbrauchte.

Ein Angreifer konnte die Berechnung so manipulieren, dass die Offer-Inhaber ihre vollen XRP-Beträge erhielten, während das zahlende Konto nur einen Bruchteil der Summe belastet wurde. Eine bestehende Sicherung, die die unbefugte Erzeugung von XRP verhindern sollte, litt unter demselben Overflow-Problem.

Die offizielle Schwachstellen-Disclosure bestätigte, dass RippleX-Ingenieure den Exploit in einer isolierten Testumgebung nachstellten und verifizierten, dass das neu erzeugte XRP anschließend ausgegeben werden konnte. Es gab keine Hinweise auf eine Ausnutzung in einem öffentlichen XRP-Ledger-Netzwerk.

Notfall-Patch innerhalb von drei Tagen ausgerollt

RippleX veröffentlichte das Korrekturupdate in xrpld Version 3.4.1 am 25. September, drei Tage nach Erhalt des Berichts. Die Notfallreaktion umging den üblichen Amendment-Abstimmungsprozess, über den Validatoren in der Regel über Protokolländerungen abstimmen, da die Entwickler es als deutlich gefährlicher ansahen, die Schwachstelle offenzulassen, als sofort einen konsenskritischen Fix auszurollen.

Mehr als 80 % der Validatoren der Standard Unique Node List hatten zum Release-Zeitpunkt aktualisiert, wodurch das Netzwerk vor der Schwachstelle zur Erzeugung von XRP geschützt war.

Die Forscher erhielten ihre Prämie fast zwei Wochen später, und die vollständige technische Disclosure wurde am 9. Oktober öffentlich. Diese Abfolge – privater Bericht, Notfall-Patch, Zahlung, dann vollständige öffentliche Offenlegung – folgt dem Modell der koordinierten Schwachstellen-Offenlegung, das in der Softwaresicherheit weit verbreitet ist und Netzwerkbetreibern Zeit geben soll, zu aktualisieren, bevor Exploit-Details veröffentlicht werden. Die Zahlung von 250.000 US-Dollar bleibt die bestätigte Höchstprämie, die im Rahmen des Programms für diese Entdeckung vergeben wurde.