ZachXBT retoma crítica de “Ripple barato” por recompensa de US$ 250 mil por bug de 18 trilhões de XRP

O investigador blockchain ZachXBT afirmou na segunda-feira que os US$ 250.000 pagos pela Ripple à empresa de segurança Veria Labs por descobrir um bug que poderia ter cunhado trilhões de XRP foram muito baixos.

A situação reacendeu as críticas de longa data de ZachXBT sobre a forma como a Ripple trata os pesquisadores.

Quanto a Ripple pagou à Veria Labs?

ZachXBT criticou os 250,000 concedidos à Veria Labs pela Ripple em uma publicação no X em 12 de outubro. Ele escreveu que a descoberta “deveria render pelo menos sete dígitos” para a Veria Labs e seu cofundador Cayden Liao.

ZachXBT disse que o pagamento faz parte de uma tendência de organizações “bem capitalizadas” que subvalorizam pesquisadores de segurança white-hat.

Ele argumentou que US$ 250.000 é pouco quando a organização pagadora tem “bilhões em tesouraria”, e alertou que recompensas insuficientes podem tentar a próxima pessoa que encontrar tal falha a explorá-la em vez de divulgá-la.

Liao, por sua vez, disse que Ripple Veria pagou o valor máximo de US$ 250.000 da recompensa do programa e classificou-o como o maior valor já pago por uma vulnerabilidade descoberta inteiramente por um agente de IA.

Veria Labs encontrou um estouro inteiro crítico no mecanismo de pagamentos do XRP Ledger, o código que liquida negociações contra o livro de ordens integrado à rede.

Quando um pagamento preenchia muitas ofertas simultaneamente, o motor somava os valores sem verificar se havia estouro. Um total suficientemente grande transbordava para um número minúsculo. Os vendedores eram pagos integralmente, mas o comprador era cobrado apenas pelo valor reduzido.

Essa diferença gerava novos XRP, que podiam ser gastos da mesma forma que qualquer outro.

O ledger possui uma verificação de segurança chamada “XRPNotCreated”, destinada a bloquear qualquer transação que crie novas moedas, mas ela apresentava um bug semelhante, o que fez com que ignorasse o desequilíbrio.

A Veria afirmou que seu agente de IA combinou os dois bugs, desenvolvidos em novembro de 2015 e fevereiro de 2017, em um proof of concept funcional. Foram creditados 18,45 trilhões de XRP distribuídos entre 256 contas em uma única transação. Isso equivale a cerca de 184 vezes o fornecimento fixo de 100 bilhões de XRP. A Veria estimou que o montante em risco correspondia a quase todo o valor de mercado do token, de US$ 94 bilhões, com base em um preço de US$ 1,59.

Notavelmente, os desenvolvedores não encontraram indícios de que a falha tenha sido utilizada. O relatório da Ripple sobre o problema explicou que, para que o ataque ocorresse, centenas de ofertas precisariam ser precificadas de maneiras que nenhum trader real utilizaria.

Veria reportou a falha em 22 de setembro por meio do programa de recompensas por bugs do XRPL e recebeu uma recompensa de US$ 250.000 por seus esforços.

ZachXBT referiu-se aos US$ 1,5 milhão que a Zcash concedeu ao pesquisador Taylor Hornby em seu argumento contra o pagamento da Ripple.

Hornby revelou uma falha de falsificação em Pool blindado Orchard da Zcash, uma vulnerabilidade que colocava cerca de US$ 2,3 bilhões em ZEC em risco, e recebeu a recompensa de US$ 750.000 mais um bônus correspondente de US$ 750.000, aprovado pelos detentores de moedas em uma rodada retroativa do terceiro trimestre que distribuiu cerca de US$ 8,39 milhões.

Jason McGee, diretor executivo da Shielded Labs, que apresentou a indicação para o bônus, argumentou que o valor original representava apenas cerca de 0,033% dos fundos em risco, contra um precedente mínimo de 0,24%. Ele escreveu que uma recompensa maior era “um seguro barato” para o protocolo. Assim como a descoberta de Veria, a de Hornby foi assistida por IA.

A falha foi corrigida?

A RippleX, equipe de engenharia da Ripple, confirmou o bug no mesmo dia em que a Veria o reportou. Ao descobrir que o XRP criado pelo bug poderia ser gasto, eles classificaram o problema como crítico. Uma correção foi integrada em 23 de setembro e lançada na versão xrpld 3.4.1 em 25 de setembro.

Normalmente, uma correção assim passaria pelo processo de emenda, que exige mais de 80% dos validadores confiáveis para apoiá-la durante duas semanas consecutivas, mas desta vez o patch entrou em vigor à medida que cada servidor era atualizado.

No dia do lançamento, mais de 80% dos validadores na Lista Padrão de Nós Únicos (UNL) já estavam executando a atualização.

O relatório da empresa afirmou que esta foi a primeira alteração no processamento de transações em mais de dez anos que não passou pelo sistema de emendas, devido ao fato de que o bug teria ficado exposto por semanas antes do lançamento da correção.

Mesmo assim, o atraso no lançamento público do código-fonte gerou críticas. Justin Bons, fundador da Cyber Capital, afirmou que o XRP havia estado "executando código fechado" até que todo o código da versão 3.4.1 fosse publicado.

O engenheiro da RippleX, Mayukha Vadari, respondeu às críticas, afirmando que a abordagem antiga já não funciona. Ela explicou que um patch crítico não pode ser incluído em uma versão pública de rotina, pois os atacantes o identificariam e o reversamente engenharia imediatamente.