ZachXBT renueva su crítica a Ripple por una recompensa de 250.000 $ por un bug de 18 billones de XRP

El investigador blockchain ZachXBT declaró el lunes que los 250.000 dólares que Ripple pagó a la firma de seguridad Veria Labs por descubrir un error que podría haber permitido acuñar billones de XRP fueron una cantidad demasiado pequeña.

La situación ha reavivado las críticas de larga data de ZachXBT sobre cómo trata Ripple a los investigadores.

¿Cuánto pagó Ripple a Veria Labs?

ZachXBT criticó los 250,000 otorgados a Veria Labs por Ripple en una publicación en X el 12 de octubre. Escribió que el hallazgo "debería ser, como mínimo, un ingreso de siete cifras" para Veria Labs y su cofundador Cayden Liao.

ZachXBT señaló que este pago forma parte de una tendencia de "organizaciones bien capitalizadas" que menosprecian a los investigadores de seguridad white-hat.

Argumentó que 250.000 dólares son insuficientes cuando la organización que paga tiene "billones en su tesorería", y advirtió que recompensas tan bajas podrían tentar a la siguiente persona que encuentre tal vulnerabilidad a explotarla en lugar de divulgarla.

Por su parte, Liao dijo que Ripple Veria pagó la máxima recompensa de 250.000 dólares del programa y la calificó como la mayor cantidad jamás pagada por una vulnerabilidad descubierta exclusivamente por un agente de IA.

Veria Labs encontró un desbordamiento entero crítico en el motor de pagos del XRP Ledger, el código que liquida las operaciones contra el libro de órdenes integrado de la red.

Cuando un pago cubría muchas ofertas a la vez, el motor sumaba los importes sin verificar si se producía un desbordamiento. Un total suficientemente grande se desbordaba y pasaba a ser un número diminuto. Los vendedores recibían el pago completo, pero al comprador solo se le cobraba ese pequeño importe.

Esta diferencia generaba nuevos XRP que podían gastarse igual que cualquier otro.

El ledger cuenta con una comprobación de seguridad llamada “XRPNotCreated”, destinada a bloquear cualquier transacción que cree nuevas monedas, pero presentaba un error similar, por lo que no detectó el desequilibrio.

Veria indicó que su agente de IA encadenó ambos errores, desarrollados en noviembre de 2015 y febrero de 2017, hasta crear una prueba de concepto funcional. Se acreditaron 18,45 billones de XRP repartidos entre 256 cuentas en una única transacción. Esto equivale aproximadamente a 184 veces el suministro fijo de XRP, que es de 100 mil millones. Veria estimó que la cantidad en riesgo alcanzaba casi todo el valor de mercado del token, de 94.000 millones de dólares, basado en un precio de 1,59 dólares.

Cabe destacar que los desarrolladores no encontraron indicios de que el error se haya utilizado jamás. El informe de Ripple sobre el problema explicaba que, para que se produjera el ataque, serían necesarios cientos de ofertas con precios en formas que ningún trader real utilizaría.

Veria reportó la vulnerabilidad el 22 de septiembre a través del programa de recompensas por errores (bug bounty) de XRPL y recibió una recompensa de 250.000 dólares por sus esfuerzos.

ZachXBT hizo referencia a los 1,5 millones de dólares que Zcash otorgó al investigador Taylor Hornby en su argumento contra el pago de Ripple.

Hornby reveló un error de falsificación en El pool blindado Orchard de Zcash, una falla que puso en riesgo aproximadamente 2.300 millones de dólares en ZEC, y recibió la recompensa de 750.000 dólares más una subvención complementaria de 750.000 dólares, aprobada por los titulares de monedas en una ronda retroactiva del tercer trimestre que distribuyó unos 8,39 millones de dólares.

Jason McGee, director ejecutivo de Shielded Labs, quien presentó la nominación para la bonificación, argumentó que la cantidad original era solo alrededor del 0,033% de los fondos en riesgo, frente a un precedente mínimo del 0,24%. Escribió que una recompensa mayor era un "seguro barato" para el protocolo. Al igual que el hallazgo de Veria, el descubrimiento de Hornby fue asistido por IA.

¿Se ha corregido el error?

RippleX, el equipo de ingeniería de Ripple, confirmó el error el mismo día que Veria lo reportó. Tras descubrir que el XRP creado por el error podía gastarse efectivamente, lo calificaron como crítico. Una corrección se fusionó el 23 de septiembre y se lanzó en xrpld 3.4.1 el 25 de septiembre.

Normalmente, una corrección así pasaría por el proceso de enmienda, que requiere más del 80 % de los validadores de confianza respaldándolo durante dos semanas consecutivas, pero esta vez el parche entró en vigor a medida que cada servidor se actualizaba.

Para el día del lanzamiento, más del 80 % de los validadores en la Lista Única de Nodos predeterminada ya lo estaban ejecutando.

El informe de la empresa indicaba que este era el primer cambio en el procesamiento de transacciones en más de diez años que no pasó por el sistema de enmiendas, debido a que el error habría estado expuesto durante semanas antes de que se publicara la corrección.

Aun así, retrasar la publicación pública del código fuente generó críticas. Justin Bons, fundador de Cyber Capital, afirmó que XRP había estado "ejecutando código propietario" hasta que se publicó completamente el código 3.4.1.

El ingeniero de RippleX, Mayukha Vadari, respondió a las críticas afirmando que el antiguo enfoque ya no funciona. Explicó que un parche crítico no puede incluirse en una versión pública rutinaria porque los atacantes lo detectarían y lo reversearían de inmediato.