- ZachXBT氏は、リップルがXRP Ledgerの重大なバグに対してベリア・ラボに支払った25万ドルは大幅に低すぎ、7桁（百万ドル単位）になるべきだったと述べています。
- このバグは重大度「クリティカル」に分類され、約18兆4,500億XRPを生成する可能性がありました。
- ZachXBT氏は、テイラー・ホーンビーに授与されたザッカシュの150万ドルの報酬を、より公平な基準として提示しました。
ブロックチェーン調査家のZachXBT氏は月曜日、トリリオン単位のXRPを生成する可能性があったバグを発見したセキュリティ企業ベリア・ラボに対し、リップルが支払った25万ドルは非常に少額だと述べました。
この出来事は、研究者に対するリップルの扱いに対するZachXBT氏の長年の批判に火をつけました。
リップルはベリア・ラボにいくら支払ったのか？
ZachXBT氏は、リップルからベリア・ラボに授与された250,000を批判しました Xでの投稿において 10月12日付けで。彼は、この発見はベリア・ラボおよび共同創設者のケイデン・リアオにとって「最低でも7桁（百万ドル単位）の収入源になるべきだ」と書き記しました。
ZachXBT氏は、この支払いが「資金力のある組織」によるホワイトハットセキュリティ研究者への不当な低評価の一傾向であると指摘しました。
彼は、支払い元の組織の「財務状況が数十億ドル規模である」ことを考慮すると、25万ドルは少なすぎると主張し、そのような脆弱性を見つけた次の人物が、開示するのではなく悪用する誘惑に駆られる可能性があることを警告しました。
一方、リアオ氏は次のように述べています リップル Veriaは、このプログラムが設定した最大賞金である25万ドルを支払うとともに、AIエージェントのみによって発見された脆弱性に対して支払われた過去最大の金額であると指摘しました。
Veria Labs 発見 XRP Ledgerの支払いエンジンにおける重大な整数オーバーフロー。これは、ネットワーク内の組み込み注文帳に対して取引を決済するコードです。
1つの支払いが一度に多数のオファーを満たす場合、エンジンはオーバーフローをチェックせずに金額を加算していました。合計額が大きすぎると、値がラップアラウンドして極小の数値になっていました。売り手は満額支払われましたが、買い手は極小の数値しか課金されませんでした。
この差額により、他のXRPと同じように使用できる新規XRPが生成されました。
台帳には、新規コインの作成を伴うトランザクションをブロックするための安全策「XRPNotCreated」が存在しますが、同様のバグがあったため、不均衡を見逃してしまいました。
Veriaによれば、そのAIエージェントは2015年11月と2017年2月に書かれた2つのバグを連鎖させ、動作する概念実証を作成しました。単一のトランザクションで256のアカウントに計18.45兆XRPをクレジットしました。これは、XRPの固定供給量1000億の約184倍に相当します。Veriaは、1.59ドルという価格に基づき、リスクにさらされていた金額はトークンの時価総額（約940億ドル）のほぼ全体に及ぶと推定しています。
特筆すべきは、開発者らはこのバグが実際に使用された形跡を見つけられなかったことである。リップルの問題に関する報告書では、攻撃が発生するには、数百のオファーが現実のトレーダーが決して用いない価格設定をしなければならないと説明している。
Veriaは9月22日、XRPLのバグ報奨金プログラムを通じてこの脆弱性を報告し、その取り組みに対して25万ドルの報奨金を受け取った。
ZachXBTは、リップルの支払いに対する反対意見の中で、Zcashが研究者Taylor Hornbyに支払った150万ドルに言及した。
Hornby 偽造バグを 計画を ZcashのOrchardシールドプール明らかにし、約23億ドル相当のZECが危険に晒される脆弱性があったが、75万ドルの報奨金に加えて、第3四半期の遡及ラウンドで約839万ドルが配布され、コインホルダーによって承認された同等額の75万ドルのボーナス付与も受け取った。
ボーナス提名を提出したShielded Labsのエグゼクティブ・ディレクター、Jason McGeeは、元の金額はリスクのある資金のわずか0.033%に過ぎず、最低の前例でも0.24%であると主張した。彼は、より高い報酬がプロトコルにとって「手頃な保険」だと書き記した。Veriaの発見と同様に、Hornbyの発見もAI支援によるものだった。
バグは修正されましたか？
RippleX（リップルのエンジニアリングチーム）は、Veriaがバグを報告した同日にその存在を確認しました。このバグによって生成されたXRPが実際に使用可能であることを発見した後、同社はこれを「クリティカル」と評価しました。修正プログラムは9月23日にマージされ、9月25日にxrpld 3.4.1としてリリースされました。
通常、このような修正は改正プロセスを経て適用されますが、これには80%以上の信頼できるバリデーターが2週間連続で支持する必要があります。今回は、各サーバーのアップグレードに合わせてパッチが順次有効化されました。
リリース日には、デフォルトのユニークノードリスト上のバリデーターの80%以上がすでにこの修正を実行していました。
同社のレポートによると、これは改正システムを経ずに実施された初のトランザクション処理変更であり、バグが修正プログラムのリリースまで数週間にわたって露出していたことが理由です。
それでも、公開ソースコードのリリースを遅らせたことに対して批判の声が上がりました。サイバーキャピタル創設者のJustin Bons氏は、完全な3.4.1のコードが公開されるまでXRPは「クローズドソースのコード」で動作していたと述べています。
RippleXのエンジニア、Mayukha Vadari氏はこの批判に対し、古いアプローチはもはや機能しないと回答しました。彼女は、攻撃者がこれを発見しすぐにリバースエンジニアリングしてしまうため、重要なパッチを通常の公開リリースに含めることはできないと説明しました。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
このバグによって生成され得たXRPの量は？
Veria Labsのプロトタイプでは、単一のトランザクションで256アカウントにわたって約18.45兆XRPがミントされました。これはXRPの固定された供給量1000億の約184倍に相当します。
なぜZachXBTは$250,000の報奨金を批判したのか？
彼はX上で、支払い元の組織の「財務状況が数十億ドル規模である」ことを考慮すると、そのような重大な欠陥に対してその金額は小さすぎると主張しました。また、低い報奨金は将来の発見者をバグを報告するのではなく悪用する方向へ向かわせかねないと指摘しました。
通常投票なしでXRP Ledgerのバグはどのように修正されたのか？
RippleXは9月25日にxrpld 3.4.1でパッチを提供し、各サーバーがアップグレードされるにつれて有効化されるようにしました。オープンソース版でバグが利用可能な状態のまま公開されてしまうのを防ぐため、標準的な2週間の改正案投票をスキップしました。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ハンナ・コリーモア
Hannahは、暗号通貨分野でほぼ10年にわたるブログ執筆およびイベントレポートの経験を持つライター兼編集者です。Cryptopolitanでは、ニュースページに寄稿し、DeFi、RWA（実世界資産）、暗号通貨規制、AI、フロンティアテック業界の最新の動向を報告・分析しています。アーケディア大学でビジネス経営の学位を取得しています。
