L'investigatore blockchain ZachXBT ha criticato il premio di 250.000 dollari pagato ai ricercatori che hanno scoperto una vulnerabilità critica nell'XRP Ledger, sostenendo che il pagamento fosse sproporzionatamente piccolo rispetto ai potenziali danni che il difetto avrebbe potuto causare.

In un post del 12 ottobre su X, ZachXBT si è chiesto perché un ricercatore che aveva responsabilmente divulgato una vulnerabilità in grado di creare XRP oltre la supply prevista avesse ricevuto solo un quarto di milione di dollari.

"Pagare a buon mercato il whitehat 250.000 dollari per un bug critico di supply infinita di XRP quando il vostro tesoro ha miliardi?", ha scritto.

Ha avvertito che una compensazione inadeguata potrebbe scoraggiare le future divulgazioni e potenzialmente spingere attori malintenzionati a sfruttare le vulnerabilità invece di segnalarle. ZachXBT ha inoltre messo in discussione la credibilità di Ripple e dell'ecosistema XRP Ledger in generale per quanto riguarda l'approccio agli incentivi di sicurezza. La dimensione dei premi è un tema di dibattito ricorrente nella sicurezza informatica, dove i massimali dei bounty sono in genere fissati in anticipo dall'organizzazione sponsor, mentre il potenziale costo di un difetto non corretto può essere molto più elevato.

250.000 dollari era il premio massimo disponibile

La critica è seguita a una risposta della XRP Ledger Foundation relativa alla vulnerabilità e alla sua remediation di emergenza.

I ricercatori di sicurezza Cayden Liao e Veria AI hanno scoperto il difetto il 21 settembre e lo hanno inviato il giorno successivo tramite il programma XRPL Bug Bounty. Veria Labs ha confermato l'8 ottobre di aver ricevuto 250.000 dollari, il massimo disponibile nell'ambito del programma, e ha dichiarato che un agente di sicurezza AI aveva identificato la vulnerabilità e generato una proof of concept funzionante. I bug bounty di questo tipo sono un meccanismo standard del settore per compensare la divulgazione responsabile, con limiti di pagamento stabiliti dallo sponsor del programma.

L'azienda ha stimato che una singola transazione dannosa avrebbe potuto creare circa 18.000 miliardi di XRP — oltre 180 volte la supply originale di 100 miliardi della criptovaluta. Veria Labs ha anche descritto il pagamento come il bounty più grande di cui fosse a conoscenza per una vulnerabilità scoperta interamente da un agente.

La critica di ZachXBT si concentra sul divario tra il tetto del premio e le potenziali conseguenze economiche di un attacco. Il suo avvertimento riguarda gli incentivi per i futuri ricercatori, non un'accusa secondo cui il team alla base di questa divulgazione si sia comportato in modo improprio.

Il bug dell'XRP Ledger esisteva dal 2015

Il pagamento contestato riguarda una vulnerabilità critica del motore di pagamento rimasta non rilevata per più di un decennio. Il difetto coinvolgeva un integer overflow — una classe di bug che si verifica quando un calcolo supera il valore massimo che un campo numerico può memorizzare — che poteva attivarsi quando un pagamento appositamente costruito consumava centinaia di offer dall'exchange decentralizzato dell'XRP Ledger.

Un attaccante poteva manipolare il calcolo in modo che i proprietari degli offer ricevessero l'intero importo in XRP mentre l'account pagante veniva addebitato solo di una piccola frazione del totale. Una salvaguardia progettata per impedire la creazione non autorizzata di XRP era affetta dallo stesso problema di overflow.

La divulgazione ufficiale della vulnerabilità ha confermato che gli ingegneri di RippleX hanno riprodotto l'exploit in un ambiente di test isolato e verificato che gli XRP appena creati potevano successivamente essere spesi. Non è stata trovata prova di sfruttamento su una rete pubblica dell'XRP Ledger.

Patch di emergenza distribuita in tre giorni

RippleX ha rilasciato l'aggiornamento correttivo nella versione 3.4.1 di xrpld il 25 settembre, tre giorni dopo aver ricevuto la segnalazione. La risposta di emergenza ha aggirato il consueto processo di voto sugli emendamenti — attraverso il quale i validatori votano tipicamente sulle modifiche al protocollo — perché gli sviluppatori hanno ritenuto che lasciare esposta la vulnerabilità fosse sostanzialmente più pericoloso rispetto al rilascio immediato di una fix sensibile al consenso.

Oltre l'80% dei validatori sulla Unique Node List predefinita si era aggiornato entro la data di rilascio, proteggendo la rete dalla vulnerabilità di creazione di supply.

I ricercatori hanno ricevuto il loro premio quasi due settimane dopo, e la divulgazione tecnica completa è diventata pubblica il 9 ottobre. Questa sequenza — segnalazione privata, patch di emergenza, pagamento e poi divulgazione pubblica completa — segue il modello di divulgazione coordinata delle vulnerabilità ampiamente utilizzato nella sicurezza del software, pensato per dare agli operatori di rete il tempo di aggiornarsi prima che i dettagli dell'exploit vengano pubblicati. Il pagamento di 250.000 dollari resta il bounty massimo confermato assegnato dal programma per questa scoperta.