El investigador de blockchain ZachXBT dijo el lunes que los 250.000 dólares que Ripple pagó a la firma de seguridad Veria Labs por encontrar un error que podría haber acuñado billones de XRP eran muy pocos.
La situación ha reavivado la crítica de larga data de ZachXBT sobre cómo Ripple trata a los investigadores.
¿Cuánto le pagó Ripple a Veria Labs?
ZachXBT criticó los 250.000 dólares otorgados a Veria Labs por Ripple en una publicación en X el 12 de octubre. Escribió que el hallazgo «debería ser como mínimo un pago de siete cifras» para Veria Labs y su cofundador Cayden Liao.
ZachXBT dijo que el pago forma parte de una tendencia de «organizaciones con mucho capital» que escatiman en las recompensas para investigadores de seguridad de sombrero blanco.
Argumentó que 250.000 dólares era muy poco cuando la organización que pagaba tenía «miles de millones en su tesorería» y advirtió que las recompensas escasas podrían tentar a la próxima persona que descubriera un fallo así a explotarlo en lugar de divulgarlo.
Por su parte, Liao dijo que Ripple pagó a Veria la recompensa máxima del programa, de 250.000 dólares, y la calificó como la mayor suma pagada hasta la fecha por una vulnerabilidad descubierta íntegramente por un agente de IA.
Veria Labs descubrió un desbordamiento de enteros crítico en el motor de pagos de XRP Ledger, el código que liquida las operaciones con el libro de órdenes integrado en la red.
Cuando un pago ejecutaba muchas ofertas a la vez, el motor sumaba las cantidades sin comprobar si había desbordamiento. Una suma lo bastante grande daba la vuelta y se convertía en un número diminuto. Los vendedores recibían el pago completo, pero al comprador solo se le cobraba esa pequeña cantidad.
Esta diferencia creó XRP nuevos que podían gastarse igual que cualquier otro.
El libro mayor tiene una comprobación de seguridad llamada «XRPNotCreated», diseñada para bloquear cualquier transacción que cree monedas nuevas, pero también tenía un error similar y no detectó el desequilibrio.
Veria dijo que su agente de IA encadenó los dos errores, escritos en noviembre de 2015 y febrero de 2017, para crear una prueba de concepto funcional. En una sola transacción, acreditó 18,45 billones de XRP en 256 cuentas. Eso equivale a unas 184 veces la oferta fija de XRP, de 100.000 millones. Veria calculó que la cantidad en riesgo se acercaba al valor de mercado total del token, de 94.000 millones de dólares, tomando como referencia un precio de 1,59 dólares.
Cabe destacar que los desarrolladores no encontraron indicios de que el error se hubiera utilizado alguna vez. El informe de Ripple sobre el problema explicó que, para que el ataque se llevara a cabo, cientos de ofertas tendrían que tener precios que ningún operador real utilizaría.
Veria informó del fallo el 22 de septiembre a través del programa de recompensas por errores de XRPL y recibió 250.000 dólares por su trabajo.
ZachXBT mencionó los 1,5 millones de dólares que Zcash otorgó al investigador Taylor Hornby para argumentar en contra del pago de Ripple.
Hornby reveló un error de falsificación en el pool protegido Orchard de Zcash, un fallo que puso en riesgo unos 2.300 millones de ZEC, y recibió la recompensa de 750.000 dólares más una subvención adicional equivalente de 750.000 dólares, aprobada por los titulares de monedas en una ronda retroactiva del tercer trimestre que distribuyó unos 8,39 millones de dólares.
Jason McGee, director ejecutivo de Shielded Labs y quien presentó la nominación para la bonificación, argumentó que la cantidad original representaba apenas alrededor del 0,033 % de los fondos en riesgo, frente a un precedente mínimo del 0,24 %. Escribió que una recompensa mayor sería un «seguro barato» para el protocolo. Al igual que el hallazgo de Veria, el descubrimiento de Hornby contó con ayuda de la IA.
¿Se ha corregido el error?
RippleX, el equipo de ingeniería de Ripple, confirmó el error el mismo día en que Veria lo reportó. Tras descubrir que el XRP creado por el error realmente podía gastarse, lo calificaron de crítico. La corrección se incorporó el 23 de septiembre y se publicó en xrpld 3.4.1 el 25 de septiembre.
Normalmente, una corrección como esta pasaría por el proceso de enmiendas, que exige que más del 80 % de los validadores de confianza la respalde durante dos semanas seguidas. Pero esta vez, el parche surtió efecto a medida que cada servidor se actualizaba.
Para el día del lanzamiento, más del 80 % de los validadores de la lista única de nodos predeterminada ya lo estaban ejecutando.
El informe de la empresa indicó que este fue el primer cambio en el procesamiento de transacciones en más de diez años que no pasó por el sistema de enmiendas, debido a que el error habría quedado expuesto durante semanas antes de que se publicara la corrección.
Aun así, la demora en publicar el código fuente generó críticas. Justin Bons, fundador de Cyber Capital, dijo que XRP había estado «ejecutando código de fuente cerrada» hasta que se publicó el código completo de la versión 3.4.1.
La ingeniera de RippleX Mayukha Vadari respondió a las críticas diciendo que el enfoque anterior ya no funciona. Explicó que un parche crítico no puede incluirse en una versión pública rutinaria porque los atacantes lo detectarían y le aplicarían ingeniería inversa de inmediato.
Las mentes más brillantes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Acompáñalas.