ZachXBT вновь раскритиковал Ripple за «дешевую» награду в $250 тыс. за баг с 18 трлн XRP

Блокчейн-исследователь ZachXBT заявил в понедельник, что выплата Ripple в размере 250 000 долларов компании Veria Labs за обнаружение уязвимости, которая могла бы привести к чеканке триллионов XRP, была значительно недостаточной.

Эта ситуация вновь вызвала критику со стороны ZachXBT в адрес того, как Ripple относится к исследователям безопасности.

Сколько именно Ripple выплатила Veria Labs?

ZachXBT раскритиковал сумму 250,000, выплаченную Veria Labs компанией Ripple в своем посте в X от 12 октября. Он написал, что это открытие «должно было принести Veria Labs и ее сооснователю Кэйдену Лиао минимум семь цифр».

ZachXBT отметил, что эта выплата является частью тенденции, при которой «финансируемые по горло организации» недоплачивают белым хакерам.

Он аргументировал, что 250 000 долларов — слишком мало, когда казна платящей организации «состоит из миллиардов», и предупредил, что небольшие вознаграждения могут соблазнить следующего человека, обнаружившего подобную уязвимость, эксплуатировать ее вместо того, чтобы сообщить о ней.

Что касается Лиао, то он сказал, что Ripple Veria выплатила максимальную по программе награду в размере 250 000 долларов США и назвала её крупнейшей суммой, когда-либо выплаченной за уязвимость, обнаруженную исключительно агентом на базе ИИ.

Veria Labs нашел критическое переполнение целочисленного типа в платежном движке XRP Ledger — коде, который обрабатывает сделки против встроенной книги ордеров сети.

Когда один платеж одновременно удовлетворял множество предложений, движок суммировал их объемы без проверки на переполнение. Слишком большая сумма «переполнялась» и превращалась в ничтожно малое число. Продавцы получали полную оплату, но покупатель оплачивал лишь это мизерное значение.

Эта разница приводила к созданию новых монет XRP, которые можно было использовать так же, как и любые другие.

В реестре есть механизм безопасности под названием «XRPNotCreated», предназначенный для блокировки любых транзакций, создающих новые монеты, однако он содержал аналогичную ошибку из-за чего не смог выявить дисбаланс.

По словам Veria, ее агент на базе ИИ объединил две уязвимости, появившиеся в ноябре 2015 года и феврале 2017 года, в работающий концепт доказательства. В одной транзакции он начислил 18,45 триллиона XRP на 256 счетов. Это примерно в 184 раза превышает фиксированное предложение XRP в 100 миллиардов монет. По оценкам Veria, потенциальный ущерб мог составить почти всю рыночную капитализацию токена в 94 миллиарда долларов, исходя из цены 1,59 доллара.

Примечательно, что разработчики не обнаружили признаков того, что уязвимость когда-либо использовалась. В отчете Ripple по данному вопросу объяснялось, что для осуществления атаки сотни предложений должны были быть оценены способами, которые ни один реальный трейдер бы не использовал.

Veria сообщила об этой уязвимости 22 сентября через программу XRPL bug bounty и получила вознаграждение в размере $250 000 за свою работу.

ZachXBT сослался на $1,5 млн, которые Zcash выплатили исследователю Тейлору Хорнби, в своем аргументе против выплаты Ripple.

Хорнби раскрыл уязвимость, связанную с подделкой в Shielded-пул Orchard в Zcash, которая ставила под угрозу примерно $2,3 млрд ZEC, и получил бонус в размере $750 000 плюс дополнительный грант в размере $750 000, утвержденный держателями монет в рамках ретроспективного раунда третьего квартала, в ходе которого было распределено около $8,39 млн.

Исполнительный директор Shielded Labs Джейсон Макги, подавший номинацию на получение бонуса, утверждал, что первоначальная сумма составляла лишь около 0,033% от средств, находившихся под угрозой, по сравнению с минимальным прецедентом в 0,24%. Он написал, что более высокая награда была «дешевой страховкой» для протокола. Как и находка Veria, открытие Хорнби было сделано с помощью ИИ.

Устранена ли уязвимость?

Команда инженеров RippleX, входящая в состав Ripple, подтвердила наличие ошибки в тот же день, когда о ней сообщила Veria. Обнаружив, что XRP, созданные благодаря этой ошибке, могут быть потрачены, они присвоили ей критический уровень опасности. Исправление было включено в основную ветку 23 сентября и выпущено в xrpld версии 3.4.1 25 сентября.

Обычно такие исправления проходят через процесс внесения поправок (amendments), который требует поддержки более чем 80% доверенных валидаторов на протяжении двух недель подряд, но в этот раз патч начал действовать по мере обновления каждого сервера.

К моменту выхода релиза более 80% валидаторов, использующих стандартный список уникальных узлов (Unique Node List), уже работали с ним.

В отчете компании указано, что это первое изменение в обработке транзакций за последние десять лет, которое не прошло через систему поправок, поскольку ошибка могла бы оставаться обнаруженной в течение нескольких недель до выпуска исправления.

Тем не менее, задержка публикации исходного кода вызвала критику. Джастин Бонс, основатель Cyber Capital, заявил, что XRP «работал на проприетарном коде» до тех пор, пока не был опубликован полный код версии 3.4.1.

Инженер RippleX Майукха Вадари отреагировала на критику, заявив, что старый подход больше не работает. Она объяснила, что критический патч нельзя включать в обычную публичную версию, так как злоумышленники сразу бы его обнаружили и разобрали по косточкам.