Блокчейн-исследователь ZachXBT раскритиковал вознаграждение в 250 000 долларов, выплаченное исследователям, обнаружившим критическую уязвимость в XRP Ledger, указывая, что выплата была непропорционально малой по сравнению с потенциальным ущербом, который могла бы причинить эта уязвимость.

В посте на X от 12 октября ZachXBT задался вопросом, почему исследователь, ответственно сообщивший об уязвимости, позволявшей создать XRP сверх предусмотренного объёма эмиссии, получил лишь четверть миллиона долларов.

«Дешёво платить whitehat 250 тысяч долларов за критическую уязвимость бесконечного выпуска XRP, когда в вашей казне миллиарды?» — написал он.

Он предупредил, что недостаточная компенсация может отбить у исследователей желание раскрывать уязвимости в будущем и потенциально подтолкнуть злоумышленников к их эксплуатации вместо ответственного сообщения. ZachXBT также поставил под сомнение доверие к Ripple и экосистеме XRP Ledger в целом в части подхода к стимулированию безопасности. Размер вознаграждений — постоянный предмет споров в области кибербезопасности: верхние границы багаунти обычно фиксируются заранее спонсирующей организацией, тогда как потенциальная стоимость неустранённой уязвимости может быть намного выше.

250 тысяч долларов были максимальным доступным вознаграждением

Критика последовала за ответом XRP Ledger Foundation, посвящённым уязвимости и её экстренному устранению.

Исследователи безопасности Кейден Ляо и Veria AI обнаружили уязвимость 21 сентября и на следующий день отправили её через программу XRPL Bug Bounty. 8 октября Veria Labs подтвердила получение 250 000 долларов — максимума, предусмотренного программой, — и сообщила, что уязвимость выявил ИИ-агент безопасности, подготовивший работающее доказательство концепции. Подобные программы багаунти являются стандартным отраслевым механизмом вознаграждения ответственного раскрытия уязвимостей, а лимиты выплат устанавливаются спонсором программы.

По оценке компании, одна вредоносная транзакция могла бы создать около 18 триллионов XRP — более чем в 180 раз больше исходного объёма эмиссии криптовалюты в 100 миллиардов. Veria Labs также назвала выплату крупнейшим известным ей багаунти за уязвимость, обнаруженную целиком ИИ-агентом.

Критика ZachXBT сосредоточена на разрыве между верхним пределом вознаграждения и потенциальными экономическими последствиями атаки. Его предупреждение касается стимулов, с которыми столкнутся будущие исследователи, а не предположений о неправомерных действиях команды, ответственной за это раскрытие.

Уязвимость XRP Ledger существовала с 2015 года

Оспариваемая выплата связана с критической уязвимостью платёжного движка, остававшейся необнаруженной более десяти лет. Уязвимость представляла собой целочисленное переполнение — класс ошибок, возникающих, когда результат вычисления превышает максимальное значение, которое может хранить числовое поле, — которая могла быть вызвана специально сконструированным платежом, поглощавшим сотни ордеров на децентрализованной бирже XRP Ledger.

Злоумышленник мог манипулировать вычислением так, что владельцы ордеров получали полную сумму XRP, а с платящего счёта списывалась лишь малая часть от общего объёма. Существовавшая защита, предназначенная для предотвращения несанкционированного создания XRP, страдала той же проблемой переполнения.

В официальном раскрытии уязвимости подтверждается, что инженеры RippleX воспроизвели эксплойт в изолированной тестовой среде и убедились, что созданные XRP впоследствии можно было потратить. Признаков эксплуатации уязвимости в публичных сетях XRP Ledger обнаружено не было.

Экстренный патч развёрнут за три дня

RippleX выпустила исправление в версии xrpld 3.4.1 25 сентября, через три дня после получения отчёта. Экстренный ответ обошёл обычную процедуру голосования по amendments — в её рамках валидаторы обычно голосуют за изменения протокола, — поскольку разработчики сочли, что оставлять уязвимость открытой значительно опаснее, чем немедленно развернуть консенсус-чувствительное исправление.

К моменту релиза более 80% валидаторов из списка Unique Node List по умолчанию обновились, защитив сеть от уязвимости создания эмиссии.

Исследователи получили вознаграждение почти двумя неделями позже, а полное техническое раскрытие стало публичным 9 октября. Эта последовательность — приватный отчёт, экстренный патч, выплата и затем полное публичное раскрытие — соответствует модели скоординированного раскрытия уязвимостей, широко применяемой в кибербезопасности и призванной дать операторам сети время на обновление до публикации деталей эксплойта. Выплата в 250 000 долларов остаётся подтверждённым максимальным багаунти, присуждённым в рамках программы за это обнаружение.