ブロックチェーン調査者のZachXBTは、XRP Ledgerの重大な脆弱性を発見した研究者に支払われた25万ドルの報奨金について、その脆弱性がもたらしえた潜在的な損害に比べて支払額が不釣り合いに少ないと批判した。

Xで10月12日に投稿したZachXBTは、意図された供給量を超えるXRPを作成できる脆弱性を責任を持って開示した研究者が、わずか25万ドルの報酬しか受け取っていない理由を疑問視した。

「数十億ドルの資金を持ちながら、無限にXRPを発行できる重大なバグの発見者にたった25万ドルしか支払うとは?」と彼は書いた。

彼は、報酬が不十分だと将来の開示をためらわせ、悪意ある攻撃者が脆弱性を報告せずに悪用するよう促しかねないと警告した。さらにZachXBTは、セキュリティインセンティブへの取り組みをめぐり、RippleとXRP Ledgerエコシステム全体の信頼性にも疑問を呈した。報酬額の設定はソフトウェアセキュリティにおいて繰り返し議論となるテーマであり、賞金の上限は通常、実施組織が事前に固定する一方、未修正の脆弱性がもたらしうる損失ははるかに大きくなりうる。

25万ドルはプログラムの上限額だった

この批判は、当該脆弱性とその緊急対応について言及したXRP Ledger Foundationの回答に続くものだった。

セキュリティ研究者のCayden LiaoとVeria AIは9月21日にこの欠陥を発見し、翌日XRPLバグバウンティプログラムを通じて報告した。Veria Labsは10月8日、プログラムの上限額である25万ドルを受け取ったことを確認し、AIセキュリティエージェントが脆弱性を特定し、動作する概念実証を作成したと述べた。この種のバグバウンティプログラムは責任ある脆弱性開示に報酬を支払うための業界標準の仕組みであり、支払上限はプログラムのスポンサーが設定する。

同社の推定では、1回の悪意あるトランザクションで約18兆XRPを作成できる可能性があり、これは当初の1,000億XRPの供給量の180倍以上に相当する。Veria Labsはこの支払いについて、AIエージェントだけで発見された脆弱性に対するものとして知る限り最大の賞金であると説明した。

ZachXBTの批判の中心は、報酬上限と攻撃による潜在的な経済的影響との隔たりにある。彼の警告は今後の研究者が直面するインセンティブに関するものであり、今回の開示を行ったチームが不適切に行動したと主張するものではない。

XRP Ledgerのバグは2015年から存在していた

問題の報奨金は、10年以上にわたり検出されなかった重大なペイメントエンジンの脆弱性に関わるものだ。この欠陥は、細工されたペイメントがXRP Ledgerの分散型取引所の数百のオファーを消費した際に発生しうる整数オーバーフロー、すなわち計算結果が数値フィールドに格納できる最大値を超えたときに起こる種類のバグに関連していた。

攻撃者は計算を操作することで、オファーの所有者はXRPの全額を受け取りながら、支払い元アカウントには総額のごく一部のみが請求されるようにできた。不正なXRP発行を防ぐために設計された既存の保護機構も、同じオーバーフローの問題を抱えていた。

公式の脆弱性開示によれば、RippleXのエンジニアは独立したテスト環境でこのエクスプロイトを再現し、新たに作成されたXRPがその後使用可能であることを確認した。公開されているXRP Ledgerネットワークでの悪用の痕跡は確認されなかった。

緊急パッチは3日以内に展開

RippleXは9月25日、報告を受けてから3日後に、xrpldバージョン3.4.1で修正アップデートをリリースした。この緊急対応では、通常のアendment(改正)投票プロセス、すなわちバリデータがプロトコル変更に投票する仕組みを回避した。開発者らは、脆弱性を放置する方が即時のコンセンサスに関わる修正を展開するよりもはるかに危険であると判断したためだ。

デフォルトのUnique Node List上のバリデータの80%以上がリリース日までにアップグレードを完了し、ネットワークはこの供給量作成の脆弱性から守られた。

研究者らが報奨金を受け取ったのはその約2週間後で、完全な技術的開示は10月9日に公開された。非公開の報告、緊急パッチ、支払いその後の完全な公開というこの一連の流れは、ソフトウェアセキュリティで広く用いられる協調的な脆弱性開示モデルに沿ったものであり、エクスプロイトの詳細が公開される前にネットワーク運営者がアップグレードする時間を確保することを目的としている。25万ドルの支払いは、今回の発見に対してこのプログラムで支払われた確認済みの最大賞金のままである。