區塊鏈調查員ZachXBT週一表示,Ripple向安全公司Veria Labs支付25萬美元,作為其發現一個可能鑄造數兆枚XRP漏洞的酬勞,金額實在太低——這筆款項重新引爆了他對Ripple對待安全研究員方式的長期批評。

ZachXBT:研究員正被虧待

ZachXBT於10月12日在一則X貼文中批評Ripple頒發給Veria Labs的25萬美元,並寫道該發現對Veria Labs及其共同創辦人Cayden Liao而言「至少應該是七位數的報酬」。

他將這筆款項描述為「資金雄厚的組織」虧待白帽安全研究員趨勢的一部分。他主張,當付款組織的「金庫握有數十億美元」時,25萬美元實在太少,並警告微薄的獎勵可能誘使下一個發現此類漏洞的人選擇利用它而非負責任地揭露。

Liao則提出不同觀點,表示Ripple已支付Veria該漏洞賞金計畫的最高金額25萬美元,並稱這是迄今為止針對完全由AI代理發現之漏洞所頒發的最大金額。

一個可能創造18.45兆枚XRP的漏洞

Veria Labs在XRP Ledger的支付引擎——即依據網路內建訂單簿結算交易的程式碼——中發現一個關鍵的整數溢位漏洞。當單筆支付同時吃掉多個賣單時,引擎在加總金額時未檢查溢位足夠大的總額會迴繞成一個極小的數字,意味著賣方獲得全額支付,而買方卻只需支付那微不足道的餘額。

這個差額等於憑空創造出可像其他XRP一樣花費的新XRP。帳本確實有一項名為「XRPNotCreated」的安全檢查,旨在阻擋任何創造新幣的交易,但該檢查本身也含有類似漏洞,未能攔截這個差額。因此,這起事件同時涉及支付計算與本應防止未經授權發行的保障機制。

據Veria表示,其AI代理將分別於2015年11月和2017年2月引入的兩個漏洞串連成可運作的概念驗證。在單一交易中,它向256個帳戶入帳18.45兆枚XRP,約為XRP固定供應量1,000億枚的184倍。Veria估計,以1.59美元的價格計算,面臨風險的資金接近該代幣全部940億美元的市值。

開發人員未發現該漏洞曾被實際利用的跡象。Ripple的揭露報告解釋,要發動此攻擊,需要數百個以真實交易者絕不會使用的方式定價的賣單。

Veria於9月22日透過XRPL漏洞賞金計畫回報該漏洞,並獲得25萬美元獎勵。

Zcash的150萬美元先例

在反對Ripple的支付金額時,ZachXBT引用了Zcash頒發給研究員Taylor Hornby的150萬美元。Hornby揭露了Zcash的Orchard隱蔽池中的一個偽造漏洞,該缺陷使約23億美元的ZEC面臨風險,他獲得了75萬美元賞金,外加一筆由幣持有者在第三季追溯性資助輪中批准的75萬美元配套獎金,該輪共分發約839萬美元。

提交該獎金提名的Shielded Labs執行總監Jason McGee主張,原始賞金僅約佔面臨風險資金的0.033%,而最低先例為0.24%。他寫道,更高的獎勵對協議而言是「廉價的保險」。與Veria的發現一樣,Hornby的發現也有AI輔助。

修復在修正案程序之外發布

RippleX——Ripple的工程團隊——在Veria回報當天即確認該漏洞,並在確定該漏洞產生的XRP確實可以花費後,將其評為關鍵等級。修復於9月23日合併,並於9月25日在xrpld 3.4.1中發布。

在正常情況下,這類變更會經過XRP Ledger的修正案程序,該程序需要超過80%的可信任驗證節點連續兩週支持。然而這一次,修補程式隨著各伺服器升級而生效。到發布當天,預設唯一節點清單中超過80%的驗證節點已在執行修復後的程式碼。

Ripple的報告指出,這是十多年來首次繞過修正案系統的交易處理變更,此舉是因為若不然,該漏洞在修復上線前將持續暴露數週。因此,這次應對除了賞金本身外,也使驗證節點的採用情況和修正案程序受到檢視。

延遲公開發布原始碼的決定仍然招致批評。Cyber Capital創辦人Justin Bons表示,XRP在完整的3.4.1程式碼發布前一直「執行閉源程式碼」。RippleX工程師Mayukha Vadari回應稱,舊做法已行不通,並解釋關鍵修補無法納入例行公開發布,因為攻擊者會立即發現並對其進行逆向工程。