Исследователь блокчейна ZachXBT (@zachxbt) раскритиковал Ripple (@Ripple) за выплату 250 000 долларов исследователю, обнаружившему критическую уязвимость в XRP Ledger ($XRP). Ошибка могла позволить злоумышленнику создать 18 триллионов XRP за одну транзакцию — примерно в 184 раза больше фиксированного объёма предложения токена, составляющего 100 миллиардов.

Сооснователь Veria Labs Кейден Ляо (@Cayden_Liao) получил максимальное вознаграждение, предусмотренное программой поиска ошибок.

К чему могла привести ошибка в XRP Ledger

Уязвимость заключалась в переполнении целого числа в платёжном механизме и существовала с 2015 года. По данным Cryptopolitan, уязвимый код обрабатывает сделки через встроенную в сеть книгу ордеров. Злоумышленник мог создать сотни поддельных аккаунтов, каждый из которых предлагал бы крошечное количество токена за большое количество XRP. Объединение таких сделок в один платёж могло привести к тому, что система интерпретировала бы огромное число как крошечное.

Цифра в 18 триллионов получена в ходе теста, а не отражает реальные потери. По данным TokenPost, показатель в 18,45 триллиона XRP был получен в ходе контролируемой демонстрации эксплойта, а не означал, что токены действительно поступили в обращение. Фонд XRP Ledger Foundation заявил, что первоначальный объём XRP остался неизменным, за исключением сожжённых комиссий за транзакции, а мониторинг не выявил несанкционированного выпуска.

Что касается хронологии событий, Veria Labs сообщила об уязвимости 22 сентября, обнаружив её днём ранее, а 25 сентября вышло экстренное обновление. К тому времени более 80% валидаторов в стандартном UNL уже использовали исправленное программное обеспечение или более новую версию. Изменения в XRP Ledger обычно проходят двухнедельное голосование валидаторов, однако 25 сентября RippleX напрямую передала им исправление.

Почему ZachXBT считает выплату слишком низкой

ZachXBT раскритиковал выплату в публикации от 12 октября, спросив, почему Ripple так мало заплатила белому хакеру — всего $250K, хотя в её казначействе миллиарды. Он написал, что за такую находку следовало бы заплатить как минимум семизначную сумму. Он также предупредил, что скромное вознаграждение может подтолкнуть следующего обнаружившего подобную уязвимость не сообщать о ней, а использовать её.

В качестве ориентиров он привёл другие вознаграждения за обнаружение уязвимостей. ZachXBT назвал более справедливым ориентиром награду Zcash в размере $1,5 млн, выплаченную Taylor Hornby. В 2022 году хакер Ethereum получил вознаграждение в $2 млн за сообщение о потенциальной уязвимости, которая могла бы привести к неограниченному выпуску ETH.

Сторонники выплаты отмечают, что $250 000 — максимальный уровень вознаграждения в программе XRPL, об уязвимости сообщили ответственным образом, исправление внедрили до публичного раскрытия, а потерь не было. В Veria сообщили, что с 2024 года XRPL выплатил более $1 млн в качестве вознаграждений за обнаружение ошибок и прошёл более десятка аудитов и аудиторских конкурсов. На момент публикации The Crypto Times ни фонд XRP Ledger Foundation, ни Ripple публично не ответили на критику.

Спор сосредоточен на том, соответствует ли ограниченное вознаграждение масштабу риска для актива стоимостью в десятки миллиардов долларов. Ляо заявил, что это была крупнейшая выплата за уязвимость, полностью обнаруженную ИИ-агентом.

Источники

TokenPost: XRP Ledger выплатил $250 000 за уязвимость, позволявшую создать неограниченное количество токенов

Cryptopolitan: ZachXBT вновь раскритиковал «скупую Ripple» из-за вознаграждения в $250K

The Crypto Times: ZachXBT раскритиковал вознаграждение в $250K за обнаружение ошибки в XRP Ledger