O investigador de blockchain ZachXBT afirmou na segunda-feira que os US$ 250.000 que a Ripple pagou à empresa de segurança Veria Labs por encontrar um bug que poderia ter criado trilhões de XRP foram muito pouco.

A situação reacendeu as críticas de longa data de ZachXBT à forma como a Ripple trata os pesquisadores.

Quanto a Ripple pagou à Veria Labs?

ZachXBT criticou os US$ 250.000 concedidos pela Ripple à Veria Labs em uma publicação no X, em 12 de outubro. Ele escreveu que a descoberta “deveria render pelo menos uma recompensa de sete dígitos” à Veria Labs e ao cofundador Cayden Liao.

ZachXBT afirmou que o pagamento faz parte de uma tendência de “organizações com muito capital” que pagam menos do que deveriam a pesquisadores de segurança white-hat.

Ele argumentou que US$ 250.000 era pouco, já que a organização pagadora “tem bilhões no tesouro”, e alertou que recompensas baixas poderiam tentar a próxima pessoa que encontrasse uma falha dessas a explorá-la em vez de divulgá-la.

Liao, por sua vez, afirmou que a Ripple pagou à Veria a recompensa máxima de US$ 250.000 do programa e chamou o valor de maior pagamento já feito por uma vulnerabilidade encontrada inteiramente por um agente de IA.

A Veria Labs encontrou um estouro crítico de inteiro no mecanismo de pagamentos do XRP Ledger, o código que liquida negociações no livro de ofertas integrado à rede.

Quando um pagamento executava muitas ofertas de uma só vez, o mecanismo somava os valores sem verificar se havia estouro. Um total suficientemente alto dava a volta e se tornava um número minúsculo. Os vendedores recebiam o valor integral, mas do comprador era cobrado apenas esse valor minúsculo.

Essa diferença criou novos XRP que podiam ser gastos como qualquer outro.

O livro-razão conta com uma verificação de segurança, “XRPNotCreated”, destinada a bloquear qualquer transação que crie novas moedas, mas ela também tinha um bug semelhante e, por isso, não detectou o desequilíbrio.

A Veria afirmou que seu agente de IA encadeou os dois bugs, escritos em novembro de 2015 e fevereiro de 2017, em uma prova de conceito funcional. Em uma única transação, ele creditou 18,45 trilhões de XRP em 256 contas. Isso equivale a cerca de 184 vezes a oferta fixa de 100 bilhões de XRP. A Veria estimou que o valor em risco era quase igual ao valor de mercado total do token, de US$ 94 bilhões, com base no preço de US$ 1,59.

É importante notar que os desenvolvedores não encontraram indícios de que o bug tenha sido explorado. O relatório da Ripple sobre o problema explicou que, para o ataque acontecer, centenas de ofertas teriam de ser precificadas de maneiras que nenhum operador real usaria.

A Veria relatou a falha em 22 de setembro por meio do programa de recompensas por bugs da XRPL e recebeu US$ 250.000 por seus esforços.

ZachXBT mencionou os US$ 1,5 milhão concedidos pela Zcash ao pesquisador Taylor Hornby ao argumentar contra o pagamento da Ripple.

Hornby divulgou um bug de falsificação no pool protegido Orchard da Zcash, uma falha que colocou em risco cerca de US$ 2,3 bilhões em ZEC. Ele recebeu a recompensa de US$ 750.000, além de uma concessão adicional de US$ 750.000, aprovada pelos detentores da moeda em uma rodada retroativa do terceiro trimestre, que distribuiu cerca de US$ 8,39 milhões.

Jason McGee, diretor executivo da Shielded Labs, que apresentou a indicação para a bonificação, argumentou que o valor original correspondia a apenas cerca de 0,033% dos fundos em risco, ante o menor precedente de 0,24%. Ele escreveu que uma recompensa maior seria um “seguro barato” para o protocolo. Assim como a descoberta da Veria, a de Hornby contou com a ajuda de IA.

O bug já foi corrigido?

A RippleX, equipe de engenharia da Ripple, confirmou o bug no mesmo dia em que a Veria o relatou. Depois de descobrir que os XRP criados pelo bug podiam, de fato, ser gastos, classificou a falha como crítica. Uma correção foi integrada em 23 de setembro e lançada no xrpld 3.4.1 em 25 de setembro.

Normalmente, uma correção como essa passaria pelo processo de emenda, que exige o apoio de mais de 80% dos validadores confiáveis durante duas semanas consecutivas. Desta vez, porém, o patch entrou em vigor à medida que cada servidor era atualizado.

No dia do lançamento, mais de 80% dos validadores da Lista Única de Nós padrão já estavam usando a versão.

O relatório da empresa afirmou que essa foi a primeira mudança no processamento de transações em mais de dez anos que não passou pelo sistema de emendas, pois o bug teria ficado exposto por semanas antes do lançamento da correção.

Ainda assim, o adiamento da publicação do código-fonte público gerou críticas. Justin Bons, fundador da Cyber Capital, disse que o XRP estava “usando código fechado” até que o código completo da versão 3.4.1 fosse publicado.

A engenheira da RippleX Mayukha Vadari respondeu às críticas, dizendo que a abordagem antiga já não funciona. Ela explicou que um patch crítico não pode ser incluído em uma versão pública rotineira, pois os invasores o perceberiam e fariam engenharia reversa imediatamente.

As mentes mais brilhantes do mundo cripto já leem nossa newsletter. Quer fazer parte? Junte-se a elas.