ZachXBT因18万亿枚XRP漏洞悬赏25万美元重提“廉价Ripple”批评

区块链调查员ZachXBT周一表示，Ripple向安全公司Veria Labs支付的25万美元，用于发现一个可能铸造数万亿枚XRP的漏洞，金额实在过低。

此事重新引发了ZachXBT对Ripple对待研究人员方式的长期批评。

Ripple向Veria Labs支付了多少费用？

ZachXBT批评Ripple向Veria Labs授予的250,000奖金 在X平台的一篇帖子中 发布于10月12日。他写道，这一发现“至少应为Veria Labs及其联合创始人Cayden Liao带来7位数的收入”。

ZachXBT表示，此次 payouts 是“资金雄厚的组织”压低白帽安全研究人员报酬趋势的一部分。

他认为，当付款组织的“金库拥有数十亿美元”时，25万美元实在太少，并警告说微薄的奖励可能会诱惑下一个发现此类漏洞的人选择利用它而非披露。

至于Liao，他表示 Ripple Veria 获得了该项目最高 250,000 美元的赏金，并称这是迄今为止由 AI 代理独立发现漏洞所获得的最高金额。

Veria Labs 发现 XRP Ledger 支付引擎中存在一个关键的整数溢出漏洞，该引擎负责根据网络内置订单簿结算交易。

当一个支付请求同时成交多个报价时，引擎会对金额进行累加，但未检查是否发生溢出。当总额过大时，会发生回绕（wrap around），变成一个极小的数字。卖家全额收到款项，但买家仅被收取这个极小的金额。

这一差额生成了新的 XRP，其使用方式与其他任何 XRP 相同。

账本设有一个名为“XRPNotCreated”的安全检查机制，旨在阻止任何生成新代币的交易，但该机制本身也存在类似的漏洞，因此未能检测到这种不平衡。

Veria 表示，其 AI 代理将这两个分别写于 2015 年 11 月和 2017 年 2 月的漏洞串联起来，构建了一个可行的概念验证（proof of concept）。它在单笔交易中向 256 个账户共计注入了 18.45 万亿 XRP。这大约是 XRP 固定供应量 1000 亿的 184 倍。Veria 估计，基于 1.59 美元的价格，潜在风险金额接近该代币高达 940 亿美元的市场总值。

值得注意的是，开发人员未发现该漏洞曾被利用的迹象。Ripple 就该问题发布的报告指出，若要实施攻击，需以现实交易中绝不会采用的方式对数百个报价进行定价。

Veria 于 9 月 22 日通过 XRPL 漏洞赏金计划报告了此缺陷，并因其努力获得了 250,000 美元的奖励。

ZachXBT 在反对 Ripple 支付款项的论点中，提到了 Zcash 向研究人员 Taylor Hornby 支付的 150 万美元。

Hornby 披露了一个伪造漏洞 十月 Zcash的Orchard隐私池,一个将约 23 亿美元的 ZEC 置于风险之中的缺陷，他因此获得了 750,000 美元的赏金，以及一笔等额、经代币持有者在第三季度回溯性投票批准的 750,000 美元额外奖金，该轮次共分配了约 839 万美元。

Shielded Labs 执行董事 Jason McGee 提交了该额外奖金提名，他指出原始金额仅占风险资金的约 0.033%，而最低先例为 0.24%。他写道，更高的奖励是对协议的“廉价保险”。与 Veria 的发现类似，Hornby 的发现也借助了人工智能。

漏洞已修复吗？

RippleX（Ripple的工程团队）在Veria报告的当天确认了该漏洞。在发现该漏洞生成的XRP实际上可以被花费后，他们将其评级为严重。修复程序于9月23日合并，并于9月25日在xrpld 3.4.1版本中发布。

通常，此类修复需经过修正案流程，即需要超过80%的受信任验证人在连续两周内支持该修正案，但此次补丁是在每个服务器升级时生效的。

截至发布当日，默认唯一节点列表上的验证者中已有超过80%运行了该补丁。

该公司的报告指出，这是十多年来首个未通过修正案系统进行处理的交易处理变更，原因是如果不及时修复，该漏洞将在修复程序发布前暴露数周之久。

尽管如此，延迟公开源代码的发布仍招致批评。Cyber Capital创始人Justin Bons表示，在完整3.4.1代码公布之前，XRP一直“运行着闭源代码”。

RippleX工程师Mayukha Vadari回应了这些批评，表示旧的方法已不再适用。她解释说，关键补丁无法包含在常规公开版本中，因为攻击者会立即发现并对其进行逆向工程。