Śledczy ds. blockchaina ZachXBT skrytykował nagrodę w wysokości 250 000 dolarów wypłaconą badaczom, którzy odkryli krytyczną lukę w XRP Ledger, argumentując, że wypłata była nieproporcjonalnie mała w stosunku do potencjalnych szkód, jakie mogła spowodować ta wada.

W poście na X z 12 października ZachXBT zapytał, dlaczego badacz, który odpowiedzialnie zgłosił lukę umożliwiającą tworzenie XRP ponad zamierzoną podaż, otrzymał jedynie quarter-milion-dolarową nagrodę.

"Cheaply paying the whitehat $250K for a critical infinite XRP supply bug when your treasury has billions?" — napisał.

Ostrzegł, że niewystarczające wynagrodzenie może zniechęcać do przyszłych zgłoszeń i potencjalnie skłonić złośliwych aktorów do eksploatacji luk zamiast ich zgłaszania. ZachXBT zakwestionował również wiarygodność Ripple oraz całego ekosystemu XRP Ledger w kwestii podejścia do bodźców bezpieczeństwa. Wysokość nagród to powracający punkt sporu w cyberbezpieczeństwie, gdzie limity nagród są zazwyczaj ustalane z góry przez organizację finansującą, podczas gdy potencjalny koszt niezałatanej luki może być znacznie większy.

250 tys. dolarów to maksymalna dostępna nagroda

Krytyka nastąpiła po odpowiedzi XRP Ledger Foundation dotyczącej luki i jej awaryjnej naprawy.

Badacze bezpieczeństwa Cayden Liao i Veria AI odkryli lukę 21 września i następnego dnia zgłosili ją przez program XRPL Bug Bounty. Veria Labs potwierdziła 8 października, że otrzymała 250 000 dolarów — maksymalną kwotę dostępną w ramach programu — i podała, że agent bezpieczeństwa AI zidentyfikował lukę i stworzył działający proof of concept. Tego rodzaju programy bug bounty to standardowy mechanizm branżowy wynagradzania odpowiedzialnego zgłaszania luk, z limitami wypłat ustalanymi przez sponsorów programu.

Firma oszacowała, że pojedyncza złośliwa transakcja mogłaby utworzyć około 18 bilionów XRP — ponad 180 razy więcej niż pierwotna podaż kryptowaluty wynosząca 100 miliardów. Veria Labs określiła również tę wypłatę jako największą nagrodę, jaką zna, za lukę odkrytą w całości przez agenta AI.

Krytyka ZachXBT koncentruje się na rozbieżności między górnym limitem nagrody a potencjalnymi skutkami ekonomicznymi ataku. Jego ostrzeżenie dotyczy bodźców, przed którymi stoją przyszli badacze, a nie zarzutu, że zespół odpowiedzialny za to zgłoszenie działał niewłaściwie.

Luka w XRP Ledger istniała od 2015 roku

Sporna wypłata dotyczy krytycznej luki w silniku płatności, która pozostawała niewykryta przez ponad dekadę. Wada polegała na przepełnieniu liczby całkowitej — klasie błędów występujących, gdy obliczenie przekracza maksymalną wartość, jaką może przechować pole numeryczne — która mogła zostać wywołana, gdy specjalnie skonstruowana płatność zużywała setki ofert ze zdecentralizowanej giełdy XRP Ledger.

Atakujący mógł zmanipulować obliczenie tak, że właściciele ofert otrzymywali pełne kwoty XRP, podczas gdy konto płacące było obciążane jedynie niewielką częścią sumy. Zabezpieczenie mające zapobiegać nieautoryzowanemu tworzeniu XRP cierpiało na ten sam problem przepełnienia.

Oficjalne ujawnienie luki potwierdziło, że inżynierowie RippleX odtworzyli exploit w izolowanym środowisku testowym i zweryfikowali, że nowo utworzone XRP mogły zostać później wydane. Nie znaleziono dowodów na eksploatację luki w publicznej sieci XRP Ledger.

Awaryjna łaska wdrożona w ciągu trzech dni

RippleX wydał poprawkę w wersji xrpld 3.4.1 25 września, trzy dni po otrzymaniu zgłoszenia. Awaryjna reakcja pominęła zwykły proces głosowania nad poprawkami — poprzez który walidatorzy zazwyczaj głosują nad zmianami w protokole — ponieważ deweloperzy uznali, że pozostawienie luki odkrytej jest znacznie bardziej niebezpieczne niż wdrożenie natychmiastowej poprawki wrażliwej na konsensus.

Do dnia wydania ponad 80% walidatorów na domyślnej Unique Node List dokonało aktualizacji, chroniąc sieć przed luką umożliwiającą tworzenie podaży.

Badacze otrzymali nagrodę prawie dwa tygodnie później, a pełne ujawnienie techniczne zostało opublikowane 9 października. Ta sekwencja — prywatne zgłoszenie, awaryjna łatka, wypłata, a następnie pełne publiczne ujawnienie — odpowiada modelowi skoordynowanego ujawniania luk szeroko stosowanemu w cyberbezpieczeństwie, który ma dać operatorom sieci czas na aktualizację przed publikacją szczegółów exploita. Wypłata 250 000 dolarów pozostaje potwierdzoną maksymalną nagrodą przyznaną w ramach programu za to odkrycie.