ZachXBT erneuert „billiges Ripple“-Kritik wegen 250.000-Dollar-Bounty für Bug mit 18 Billionen XRP

Blockchain-Ermittler ZachXBT sagte am Montag, dass die 250.000 US-Dollar, die Ripple an die Sicherheitsfirma Veria Labs für das Finden eines Bugs zahlte, der Billionen von XRP hätte erzeugen können, weit zu gering waren.

Die Situation hat ZachXBts langjährige Kritik daran, wie Ripple mit Forschern umgeht, wieder aufgeflammt.

Wie viel hat Ripple Veria Labs gezahlt?

ZachXBT kritisierte den 250,000, den Ripple an Veria Labs vergeben hat in einem Beitrag auf X am 12. Oktober. Er schrieb, dass die Entdeckung „mindestens ein siebenstelliges Gehalt“ für Veria Labs und Mitgründer Cayden Liao darstellen sollte.

ZachXBT sagte, dass die Auszahlung Teil eines Trends ist, bei dem „wohlhabende Organisationen“ White-Hat-Sicherheitsforscher benachteiligen.

Er argumentierte, dass 250.000 US-Dollar zu wenig seien, wenn die zahlende Organisation „Milliarden in ihren Kassen“ habe, und warnte, dass niedrige Belohnungen die nächste Person, die einen solchen Fehler findet, dazu verleiten könnten, ihn auszunutzen, anstatt ihn offenzulegen.

Liao seinerseits sagte, dass Ripple Veria hat das maximale Programm-Bounty von 250.000 $ erhalten und dies als den höchsten jemals für eine ausschließlich von einem KI-Agenten entdeckten Schwachstelle gezahlte Betrag bezeichnet.

Veria Labs fand einen kritischen Integer-Überlauf in der Zahlungsmaschine des XRP-Ledgers, also dem Code, der Trades gegen das integrierte Orderbuch des Netzwerks abwickelt.

Wenn eine einzige Zahlung viele Angebote gleichzeitig erfüllte, addierte die Maschine die Beträge, ohne auf einen Überlauf zu prüfen. Ein ausreichend großer Gesamtbetrag überlief und resultierte in einer winzigen Zahl. Verkäufer wurden vollständig bezahlt, aber der Käufer wurde nur mit dieser winzigen Zahl belastet.

Diese Differenz erzeugte neues XRP, das wie jedes andere ausgegeben werden konnte.

Der Ledger verfügt über eine Sicherheitsprüfung namens „XRPNotCreated“, die Transaktionen blockieren soll, die neue Münzen erschaffen, jedoch wies auch diese einen ähnlichen Fehler auf, sodass sie das Ungleichgewicht nicht erkannte.

Veria erklärte, dass sein KI-Agent die beiden Bugs, die im November 2015 bzw. Februar 2017 entstanden waren, zu einem funktionierenden Proof of Concept verknüpfte. Dabei wurden in einer einzigen Transaktion 18,45 Billionen XRP auf 256 Konten gutgeschrieben. Das entspricht etwa dem 184-fachen des festen Angebots von 100 Milliarden XRP. Veria schätzte, dass das Risiko fast den gesamten Marktwert des Tokens in Höhe von 94 Milliarden US-Dollar betraf, basierend auf einem Preis von 1,59 $.

Bemerkenswerterweise fanden Entwickler keine Anzeichen dafür, dass der Fehler jemals ausgenutzt wurde. Ripples Bericht zum Problem erklärte, dass für den Angriff Hunderte von Angeboten zu Preisen platziert werden müssten, die kein echter Händler verwenden würde.

Veria meldete den Fehler am 22. September über das XRPL-Bug-Bounty-Programm und erhielt eine Belohnung in Höhe von 250.000 US-Dollar.

ZachXBT bezog sich auf die 1,5 Millionen US-Dollar, die Zcash dem Forscher Taylor Hornby zugesprochen hatte, um sein Argument gegen Ripples Zahlung zu untermauern.

Hornby hat einen Bug zur Fälschung offengelegt im Orchard-Shielded-Pool von Zcash, einen Fehler, der etwa 2,3 Milliarden US-Dollar an ZEC gefährdete, und erhielt das Bug-Bounty in Höhe von 750.000 US-Dollar sowie einen zusätzlichen Bonus in gleicher Höhe, der von den Coin-Inhabern in einer retroaktiven Runde im dritten Quartal genehmigt wurde, in der rund 8,39 Millionen US-Dollar verteilt wurden.

Jason McGee, Executive Director von Shielded Labs, der die Bonus-Nominierung einreichte, argumentierte, der ursprüngliche Betrag betrage nur etwa 0,033 % der gefährdeten Mittel im Vergleich zum niedrigsten Präzedenzfall von 0,24 %. Er schrieb, dass eine höhere Belohnung „günstige Versicherung“ für das Protokoll sei. Wie bei Verias Fund war auch Hornbys Entdeckung KI-unterstützt.

Wurde der Fehler behoben?

RippleX, das Entwicklungsteam von Ripple, bestätigte den Bug am selben Tag, an dem Veria ihn meldete. Nachdem festgestellt wurde, dass die durch den Fehler erzeugten XRP tatsächlich ausgegeben werden konnten, stufte man ihn als kritisch ein. Ein Fix wurde am 23. September gemergt und am 25. September in xrpld Version 3.4.1 veröffentlicht.

Normalerweise würde eine solche Korrektur den Änderungsprozess durchlaufen, der mehr als zwei Wochen lang die Unterstützung von über 80 % der vertrauenswürdigen Validatoren erfordert. Diesmal trat der Patch jedoch wirksam ein, sobald jeder Server aktualisiert wurde.

Zum Veröffentlichungstag liefen bereits über 80 % der Validatoren auf der standardmäßigen Unique Node List (UNL) diese Version.

In dem Bericht des Unternehmens hieß es, dies sei die erste Änderung im Transaktionsverarbeitungssystem seit mehr als zehn Jahren, die nicht über das Änderungs-System lief, da der Fehler sonst wochenlang unentdeckt geblieben wäre, bevor der Fix veröffentlicht worden wäre.

Dennoch zog die Verzögerung der öffentlichen Quellcode-Veröffentlichung Kritik auf sich. Justin Bons, Gründer von Cyber Capital, sagte, XRP habe bis zur Veröffentlichung des vollständigen Codes 3.4.1 „Closed-Source-Code“ ausgeführt.

RippleX-Ingenieurin Mayukha Vadari reagierte auf die Kritik und erklärte, dass der alte Ansatz nicht mehr funktioniere. Sie erläuterte, dass ein kritischer Patch nicht in eine reguläre öffentliche Veröffentlichung aufgenommen werden kann, da Angreifer ihn sofort entdecken und reverse-engineern würden.