ZachXBT rinnova la critica a "Ripple economica" per una taglia da 250.000 dollari su un bug da 18 trilioni di XRP

L'investigatore blockchain ZachXBT ha dichiarato lunedì che i 250.000 dollari pagati da Ripple alla società di sicurezza Veria Labs per aver individuato un bug in grado di coniare trilioni di XRP erano una somma eccessivamente esigua.

La situazione ha riacceso le critiche di lunga data di ZachXBT nei confronti del modo in cui Ripple tratta i ricercatori.

Quanto ha pagato Ripple a Veria Labs?

ZachXBT ha criticato i 250,000 assegnati a Veria Labs da Ripple in un post su X il 12 ottobre. Ha scritto che l'individuazione "dovrebbe garantire un compenso minimo di sette cifre" per Veria Labs e il co-fondatore Cayden Liao.

ZachXBT ha affermato che il pagamento rientra in una tendenza delle "organizzazioni ben capitalizzate" a sottovalutare i ricercatori di sicurezza white-hat.

Ha sostenuto che 250.000 dollari siano una somma troppo bassa quando l'organizzazione che paga "ha miliardi nel proprio tesoro", e ha avvertito che premi insufficienti potrebbero tentare la persona successiva che scopre una tale falla a sfruttarla invece di segnalarla.

Per parte sua, Liao ha dichiarato che Ripple Veria ha percepito il bounty massimo del programma, pari a 250.000 dollari, definendolo l'importo più elevato mai corrisposto per una vulnerabilità scoperta interamente da un agente di intelligenza artificiale.

Veria Labs ha un grave errore di overflow intero nel motore dei pagamenti di XRP Ledger, il codice che regola le negoziazioni contro il libro degli ordini integrato della rete.

Quando un singolo pagamento soddisfaceva contemporaneamente molte offerte, il motore sommava gli importi senza verificare la presenza di overflow. Un totale sufficientemente elevato andava in overflow, risultando in un numero minuscolo. I venditori venivano pagati integralmente, ma l'acquirente veniva addebitato solo per l'importo ridotto.

Questa differenza generava nuovi XRP, spendibili esattamente come qualsiasi altro.

Il ledger dispone di un controllo di sicurezza denominato “XRPNotCreated”, progettato per bloccare qualsiasi transazione che creasse nuove monete, ma presentava un bug simile, che ne impediva il corretto rilevamento dello squilibrio.

Veria ha dichiarato che il suo agente di intelligenza artificiale ha concatenato i due bug, risalenti al novembre 2015 e al febbraio 2017, fino a realizzare un proof of concept funzionante. Ha accreditato 18,45 trilioni di XRP su 256 account in una singola transazione. Si tratta di circa 184 volte l'offerta fissa di XRP, pari a 100 miliardi. Veria ha stimato che l'importo a rischio corrispondesse quasi all'intero valore di mercato del token, pari a 94 miliardi di dollari, sulla base di un prezzo di 1,59 dollari.

È notevole che gli sviluppatori non abbiano trovato segni del fatto che il bug sia mai stato utilizzato. Il rapporto di Ripple sull'incidente spiegava che, affinché l'attacco potesse verificarsi, centinaia di offerte dovrebbero essere state valutate in modi che nessun trader reale utilizzerebbe.

Veria ha segnalato la vulnerabilità il 22 settembre tramite il programma XRPL bug bounty e ha ricevuto una ricompensa di $250.000 per i suoi sforzi.

ZachXBT ha fatto riferimento ai $1,5 milioni che Zcash ha assegnato al ricercatore Taylor Hornby nel suo argomento contro il pagamento di Ripple.

Hornby ha divulgato un bug di contraffazione a Pool shielded Orchard di Zcash, una falla che metteva a rischio circa $2,3 miliardi di ZEC, e ha ricevuto il bounty di $750.000 più un bonus corrispondente di $750.000, approvato dagli holder delle monete in un round retroattivo del terzo trimestre che ha distribuito circa $8,39 milioni.

Jason McGee, direttore esecutivo di Shielded Labs, che ha presentato la nomina per il bonus, ha sostenuto che l'importo originale era solo dello 0,033% dei fondi a rischio rispetto a un precedente minimo dello 0,24%. Ha scritto che una ricompensa più alta era "un'assicurazione economica" per il protocollo. Come la scoperta di Veria, anche quella di Hornby è stata assistita dall'IA.

Il bug è stato risolto?

RippleX, il team di ingegneria di Ripple, ha confermato il bug lo stesso giorno in cui Veria l'ha segnalato. Dopo aver scoperto che le XRP create dal bug potevano effettivamente essere spese, hanno classificato la vulnerabilità come critica. Una correzione è stata integrata il 23 settembre e rilasciata in xrpld 3.4.1 il 25 settembre.

In genere, una correzione del genere verrebbe sottoposta al processo di emendamento, che richiede il supporto dell'80% dei validatori fidati per due settimane consecutive, ma questa volta il patch è entrato in vigore man mano che ogni server veniva aggiornato.

Alla data del rilascio, oltre l'80% dei validatori sulla Unique Node List predefinita stava già eseguendo tale versione.

Il rapporto dell'azienda affermava che si trattava della prima modifica all'elaborazione delle transazioni in oltre dieci anni a non passare attraverso il sistema di emendamento, poiché il bug sarebbe rimasto esposto per settimane prima del rilascio della correzione.

Tuttavia, il ritardo nel rilascio pubblico del codice sorgente ha suscitato critiche. Justin Bons, fondatore di Cyber Capital, ha dichiarato che XRP aveva "eseguito codice closed-source" fino alla pubblicazione completa del codice 3.4.1.

L'ingegnere di RippleX Mayukha Vadari ha risposto alle critiche, affermando che il vecchio approccio non funziona più. Ha spiegato che una patch critica non può essere inclusa in un rilascio pubblico di routine perché gli attaccanti la individuerebbero e la reverse-engineerebbero immediatamente.