زاك إكس بي تي يجدد انتقاده لـ«ريبل الرخيصة» بسبب مكافأة 250 ألف دولار مقابل ثغرة في 18 تريليون XRP
- يُشير ZachXBT إلى أن مبلغ 250,000 دولار الذي دفعته Ripple لشركة Veria Labs لاكتشاف ثغرة حرجة في دفتر أستاذ XRP كان منخفضاً جداً، وكان ينبغي أن يصل إلى سبعة أرقام.
- صُنفت الثغرة على أنها حرجة، وكان من الممكن أن تتيح إنشاء حوالي 18.45 تريليون عملة XRP.
- أشار ZachXBT إلى أن مكافأة Zcash البالغة 1.5 مليون دولار لتايلور هورنبي تُعد معياراً أكثر إنصافاً.
قال محقق البلوكتشين ZachXBT يوم الاثنين إن مبلغ 250,000 دولار الذي دفعته Ripple للشركة الأمنية Veria Labs لاكتشاف ثغرة كان من الممكن أن تنتج تريليونات من عملات XRP كان صغيراً جداً.
وقد أعادت هذه الحالة إشعال انتقادات ZachXBT المستمرة منذ فترة طويلة لكيفية تعامل Ripple مع الباحثين.
كم دفعت Ripple لشركة Veria Labs؟
انتقد ZachXBT المبلغ 250,000 الذي حصلت عليه شركة Veria Labs من قبل Ripple في منشور على منصة X بتاريخ 12 أكتوبر. وكتب أن هذا الاكتشاف "يجب أن يكون يوماً مجدياً بمبلغ يتكون من سبعة أرقام على الأقل" لشركتي Veria Labs والمؤسس المشارك كايدن لياو.
قال ZachXBT إن هذه المدفوعات جزء من اتجاه تتبناه "المنظمات ذات رأس المال الضخم" حيث تقلل من قيمة باحثي الأمن السيبراني ذوي القبعة البيضاء.
جادل بأن مبلغ 250,000 دولار كان قليلاً جداً عندما يكون لدى المنظمة الدافعة "احتياطيات مالية تبلغ مليارات الدولارات»، وحذر من أن المكافآت المتواضعة قد تغري الشخص التالي الذي يكتشف مثل هذا العيب باستغلاله بدلاً من الإفصاح عنه.
وبالنسبة للياو، قال إنه ريبل دفع فيريا المكافأة القصوى للبرنامج البالغة 250,000 دولار ووصفها بأنها أكبر مبلغ تم دفعه على الإطلاق عن ثغرة أمنية اكتشفها وكيل ذكاء اصطناعي بالكامل.
فيريا لابز وجد ثغرة حرجة في تجاوز عدد صحيح (integer overflow) داخل محرك المدفوعات في دفتر أرقام XRP، وهو الكود الذي يسوّي الصفقات مقابل دفتر الأوامر المدمج في الشبكة.
عندما يتم تنفيذ دفعة واحدة لعدة عروض في آن واحد، يقوم المحرك بجمع المبالغ دون التحقق من وجود تجاوز. إذا كان المجموع كبيراً بما يكفي، فإنه يلتف حول نفسه ليصبح رقماً صغيراً جداً. وبذلك يتم سداد البائعين بالكامل، بينما يُ charged المشتري فقط ذلك الرقم الصغير.
هذا الفرق خلق عملات XRP جديدة يمكن إنفاقها بنفس طريقة أي عملة أخرى.
يحتوي الدفت على فحص أمان باسم "XRPNotCreated"، يهدف إلى حظر أي معاملة تنشئ عملات جديدة، لكنه يحتوي على ثغرة مشابهة، مما جعله يفوت اكتشاف هذا الخلل.
قالت فيريا إن وكيل الذكاء الاصطناعي الخاص بها ربط الثغرتين، اللتين كُتبتا في نوفمبر 2015 وفبراير 2017، لتكوين نموذج أولي قابل للتطبيق. وأقرت بنقل 18.45 تريليون وحدة من عملة XRP عبر 256 حسابًا في عملية واحدة. وهذا يعادل حوالي 184 ضعف العرض الثابت لعملة XRP البالغ 100 مليار وحدة. وقدّرت فيريا أن المبلغ المعرض للخطر كان يقارب القيمة السوقية الكاملة للعملة البالغة 94 مليار دولار، بناءً على سعر قدره 1.59 دولار.
ومن الجدير بالذكر أن المطورين لم يعثروا على أي دليل على استخدام الثغرة. وأوضحت تقرير ريبل بشأن المشكلة أنه لحدوث الهجوم، كان لا بد من تسعير مئات العروض بطرق لن يستخدمها أي تاجر حقيقي.
أبلغت فيريا عن العيب في 22 سبتمبر عبر برنامج مكافآت الأخطاء في XRPL وحصلت على مكافأة قدرها 250,000 دولار أمريكي مقابل جهودها.
أشار زاك إكس بي تي إلى مبلغ 1.5 مليون دولار أمريكي الذي منحه زيكاش للباحث تايلور هورني في إطار حججه ضد دفع ريبل للمكافأة.
هورني كشف عن ثغرة تتعلق بالتزييف في مجمع Orchard المحصّن الخاص بعملة Zcash، وهي عيب وضع ما يقرب من 2.3 مليار دولار أمريكي من عملات ZEC في خطر، وحصل على مكافأة بقيمة 750,000 دولار أمريكي بالإضافة إلى منحة مكافأة مطابقة بقيمة 750,000 دولار أمريكي تمت الموافقة عليها من قبل حاملي العملات في جولة تعويضية ربع سنوية شتاركت بتوزيع حوالي 8.39 مليون دولار أمريكي.
جادل جيسون ماكغي، المدير التنفيذي لشركة Shielded Labs، الذي قدم ترشيح المكافأة الإضافية، بأن المبلغ الأصلي كان يمثل فقط حوالي 0.033% من الأموال المعرضة للخطر مقارنة بأقل سابقة تبلغ 0.24%. وكتب أن المكافأة الأعلى كانت "تأميناً رخيصاً" للبروتوكول. وكما كان الحال مع اكتشاف فيريا، كان اكتشاف هورني مدعوماً بالذكاء الاصطناعي.
هل تم إصلاح الثغرة؟
أكدت RippleX، فريق هندسة شركة Ripple، وجود الخطأ في نفس اليوم الذي أبلغت فيه Veria عنه. وبعد اكتشاف أن XRP الناتج عن هذا الخطأ يمكن إنفاقه فعلياً، صنفوه على أنه حرج. تم دمج الإصلاح في 23 سبتمبر ونُشر في xrpld الإصدار 3.4.1 في 25 سبتمبر.
عادةً ما تمر إصلاحات من هذا النوع عبر عملية التعديل (Amendment)، والتي تتطلب دعم أكثر من 80% من المُصادقين الموثوقين لها لمدة أسبوعين متتاليين، لكن هذه المرة دخل التصحيح حيّز التنفيذ مع ترقية كل خادم على حدة.
بحلول يوم النشر، كان أكثر من 80% من المُصادقين الموجودين في قائمة العقد الفريدة الافتراضية (Unique Node List) قد بدأوا استخدامه بالفعل.
ذكر تقرير الشركة أن هذا كان أول تغيير في معالجة المعاملات منذ أكثر من عشر سنوات لا يمر عبر نظام التعديلات، وذلك بسبب أن الخطأ كان سيظل مكشوفاً لعدة أسابيع قبل نشر الإصلاح.
ومع ذلك، لقي تأخير إصدار الشفرة المصدرية علناً انتقادات. وقال جاستن بونز، مؤسس Cyber Capital، إن XRP كان "يعمل على شفرة مغلقة المصدر" حتى نشر الكود الكامل للإصدار 3.4.1.
ردّ مهندس RippleX ماخوكا فاداري على الانتقادات، قائلةً إن النهج القديم لم يعد مجدياً. وأوضحت أنه لا يمكن تضمين تصحيح حرج في إصدار عام اعتيادي لأن المهاجمين سيكتشفونه ويعيدون هندسته العكسية فوراً.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
الأسئلة الشائعة
كم من عملات XRP كان بإمكان الثغرة أن تُنشئ؟
أنتجت نموذج Veria Labs القياسي حوالي 18.45 تريليون عملة XRP عبر 256 حساباً في عملية واحدة، وهو ما يعادل تقريباً 184 ضعف العرض الثابت لـ XRP والبالغ 100 مليار.
لماذا انتقد زاكس بي تي المكافأة البالغة 250,000؟
جادل على منصة X بأن المبلغ صغير جداً مقارنة بخطورة هذا العيب، خاصة وأن "الخزينة" لدى المنظمة الدافعة تمتلك مليارات الدولارات، مشيراً إلى أن المكافآت المنخفضة قد تدفع مكتشفاً مستقبلاً لاستغلال الثغرة بدلاً من الإبلاغ عنها.
كيف تم إصلاح ثغرة دفتر الأستاذ الخاص بـ XRP دون التصويت المعتاد؟
أطلقت RippleX التصحيح في xrpld الإصدار 3.4.1 في 25 سبتمبر وجعلته ينشط مع ترقية كل خادم، متجاوزاً التصويت القياسي لمدة أسبوعين بشأن التعديل لأن الإصدار مفتوح المصدر كان سيعرض الثغرة بينما لا تزال قابلة للاستغلال.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
