El investigador blockchain ZachXBT dijo el lunes que los 250.000 dólares que Ripple pagó a la firma de seguridad Veria Labs por descubrir una falla que pudo haber generado billones de XRP fueron demasiado poco: un pago que reavivó sus críticas de larga data sobre cómo la empresa trata a los investigadores de seguridad.

ZachXBT: los investigadores reciben una compensación insuficiente

En una publicación en X del 12 de octubre, ZachXBT criticó los 250.000 dólares otorgados a Veria Labs, escribiendo que el hallazgo "debería ser un pago de 7 cifras como mínimo" para la firma y su cofundador Cayden Liao.

Describió el pago como parte de una tendencia de "organizaciones bien capitalizadas" que pagan de menos a los investigadores de seguridad white hat. Un cuarto de millón de dólares fue insuficiente, argumentó, cuando la "tesorería tiene miles de millones" de la organización que paga, y advirtió que recompensas tan bajas podrían tentar a la próxima persona que encuentre una falla así a explotarla en lugar de divulgarla.

Liao ofreció una perspectiva distinta, señalando que Ripple pagó a Veria el máximo de 250.000 dólares del programa de recompensas por errores, y calificándolo como la mayor cantidad jamás otorgada por una vulnerabilidad descubierta íntegramente por un agente de IA.

Un error que pudo haber creado 18,45 billones de XRP

Veria Labs descubrió un desbordamiento de enteros crítico en el motor de pagos del XRP Ledger, el código que liquida las operaciones contra el libro de órdenes integrado de la red. Cuando un solo pago completaba muchas ofertas a la vez, el motor sumaba los montos sin verificar el desbordamiento. Un total lo bastante grande daba la vuelta a un número diminuto, lo que significaba que los vendedores cobraban en su totalidad mientras al comprador solo se le cobraba el residuo insignificante.

Esa diferencia equivalía a XRP recién creado que podía gastarse como cualquier otro. El ledger cuenta con una verificación de seguridad, "XNotCreated", diseñada para bloquear cualquier transacción que cree nuevas monedas, pero esa verificación contenía un error similar propio y no detectó el desequilibrio. El incidente involucró, por tanto, tanto el cálculo de pagos como la salvaguarda destinada a prevenir la emisión no autorizada.

Según Veria, su agente de IA encadenó los dos errores —introducidos en noviembre de 2015 y febrero de 2017, respectivamente— en una prueba de concepto funcional. En una sola transacción, acreditó 18,45 billones de XRP en 256 cuentas, aproximadamente 184 veces la oferta fija de 100.000 millones de tokens del XRP. Veria estimó que los fondos en riesgo rondaban los 94.000 millones de dólares de valor de mercado total del token, con base en un precio de 1,59 dólares.

Los desarrolladores no encontraron señales de que el error haya sido explotado en la práctica. El informe de divulgación de Ripple explicó que ejecutar el ataque habría requerido cientos de ofertas con precios que ningún trader real usaría.

Veria reportó la falla el 22 de septiembre a través del programa de recompensas por errores del XRPL y recibió los 250.000 dólares.

Un precedente de 1,5 millones de dólares en Zcash

Al argumentar en contra del pago de Ripple, ZachXBT señaló los 1,5 millones de dólares que Zcash otorgó al investigador Taylor Hornby. Hornby divulgó un error de falsificación en el shielded pool Orchard de Zcash, una falla que puso en riesgo unos 2.300 millones de dólares en ZEC, y recibió una recompensa de 750.000 dólares más una subvención adicional equivalente de 750.000 dólares aprobada por los tenedores de la moneda en una ronda de financiamiento retroactiva del tercer trimestre que distribuyó unos 8,39 millones de dólares en total.

Jason McGee, director ejecutivo de Shielded Labs, quien presentó la nominación de la subvención, argumentó que la recompensa original representó solo alrededor del 0,033% de los fondos en riesgo, frente a un precedente mínimo del 0,24%. Una recompensa mayor, escribió, era un "seguro barato" para el protocolo. Al igual que el hallazgo de Veria, el descubrimiento de Hornby fue asistido por IA.

La corrección se implementó fuera del proceso de enmiendas

RippleX, el brazo de ingeniería de Ripple, confirmó el error el mismo día que Veria lo reportó y, tras determinar que el XRP creado por la falla podía realmente gastarse, lo calificó como crítico. Una corrección se integró el 23 de septiembre y se publicó en xrpld 3.4.1 el 25 de septiembre.

En circunstancias normales, un así pasaría por el proceso de enmiendas del XRP Ledger, que requiere el apoyo de más del 80% de los validadores de confianza durante dos semanas consecutivas. Esta vez, sin embargo, el parche surtió efecto a medida que cada servidor se actualizaba. Al día de la publicación, más del 80% de los validadores en la Unique Node List predeterminada ya ejecutaban el código corregido.

El informe de Ripple indicó que este fue el primer cambio en el procesamiento de transacciones en más de diez años en omitir el sistema de enmiendas, un paso tomado porque la vulnerabilidad habría permanecido expuesta durante semanas antes de que la corrección entrara en vigor. La respuesta puso así bajo escrutinio tanto la adopción de los validadores como el proceso de enmiendas, además de la recompensa en sí.

La decisión de retrasar la publicación pública del código fuente aun así generó críticas. Justin Bons, fundador de Cyber Capital, dijo que XRP había estado "ejecutando código cerrado" hasta que se publicó el código completo de la versión 3.4.1. La ingeniera de RippleX Mayukha Vadari respondió que el enfoque antiguo ya no funciona, explicando que un parche crítico no puede incluirse en una publicación pública rutinaria porque los atacantes lo detectarían y lo aplicarían con ingeniería inversa de inmediato.