Nhà điều tra blockchain ZachXBT (@zachxbt) đã chỉ trích Ripple (@Ripple) vì trả 250.000 USD cho một nhà nghiên cứu phát hiện lỗ hổng nghiêm trọng trong XRP Ledger ($XRP). Lỗi này có thể cho phép kẻ tấn công tạo ra 18 nghìn tỷ XRP chỉ trong một giao dịch, con số lớn gấp khoảng 184 lần tổng cung cố định 100 tỷ token.

Đồng sáng lập Veria Labs, Cayden Liao (@Cayden_Liao), đã nhận mức tiền thưởng tối đa theo chương trình săn lỗi.

Lỗ hổng XRP Ledger có thể gây ra điều gì

Lỗ hổng là lỗi tràn số nguyên trong hệ thống xử lý thanh toán, tồn tại từ năm 2015. Theo Cryptopolitan, đoạn mã bị ảnh hưởng dùng để thanh toán các giao dịch thông qua sổ lệnh tích hợp của mạng lưới. Kẻ tấn công có thể tạo hàng trăm tài khoản giả, mỗi tài khoản đưa ra một lượng token rất nhỏ để đổi lấy một lượng XRP lớn; nếu gộp các giao dịch đó vào một khoản thanh toán, các phép tính của hệ thống có thể đọc một con số khổng lồ thành một con số rất nhỏ.

Con số 18 nghìn tỷ xuất phát từ một thử nghiệm, chứ không phải tổn thất thực tế. Theo TokenPost, con số 18,45 nghìn tỷ XRP là kết quả của một màn trình diễn khai thác có kiểm soát, chứ không phải số token được chứng minh là đã lưu hành. XRP Ledger Foundation cho biết nguồn cung ban đầu của XRP vẫn được bảo toàn, ngoại trừ phí giao dịch đã bị đốt, và hoạt động giám sát của tổ chức không phát hiện việc phát hành trái phép.

Về dòng thời gian, Veria Labs báo cáo lỗ hổng vào ngày 22 tháng 9, sau khi phát hiện ra nó vào ngày 21 tháng 9; bản cập nhật khẩn cấp được triển khai vào ngày 25 tháng 9, khi hơn 80% trình xác thực trong UNL mặc định đang chạy phần mềm đã vá lỗi hoặc phiên bản mới hơn. Các thay đổi của XRP Ledger thường trải qua quy trình bỏ phiếu kéo dài hai tuần giữa các trình xác thực, nhưng RippleX đã gửi bản sửa lỗi trực tiếp cho họ vào ngày 25 tháng 9.

Vì sao ZachXBT cho rằng khoản tiền thưởng quá thấp

ZachXBT chỉ trích khoản tiền thưởng trong một bài đăng ngày 12 tháng 10, đặt câu hỏi vì sao Ripple chỉ trả cho hacker mũ trắng 250.000 USD trong khi ngân quỹ của công ty có hàng tỷ USD. Ông viết rằng phát hiện này ít nhất cũng xứng đáng được trả thưởng lên đến hàng triệu USD. Ông cũng cảnh báo rằng phần thưởng quá thấp có thể khiến người tiếp theo phát hiện lỗ hổng như vậy khai thác nó thay vì báo cáo.

Ông đưa ra các khoản tiền thưởng khác làm chuẩn so sánh. ZachXBT nêu khoản thưởng 1,5 triệu USD của Zcash dành cho Taylor Hornby như một mức chuẩn công bằng hơn, trong khi một hacker Ethereum nhận được khoản tiền thưởng tìm lỗi trị giá 2 triệu USD vào năm 2022 khi báo cáo một lỗ hổng tiềm ẩn có thể tạo ra nguồn cung ETH không giới hạn.

Những người bảo vệ khoản tiền thưởng lưu ý rằng 250.000 USD là mức cao nhất trong chương trình của XRPL, lỗ hổng được báo cáo một cách có trách nhiệm, bản sửa lỗi được triển khai trước khi công khai thông tin và không có tổn thất nào xảy ra. Veria cho biết XRPL đã chi hơn 1 triệu USD tiền thưởng tìm lỗi và trải qua hơn một chục cuộc kiểm toán cũng như cuộc thi kiểm toán kể từ năm 2024. Tính đến thời điểm The Crypto Times đăng bài, cả XRP Ledger Foundation lẫn Ripple đều chưa công khai phản hồi về những lời chỉ trích này.

Cuộc tranh luận xoay quanh việc liệu khoản tiền thưởng có giới hạn có phản ánh đúng mức độ rủi ro đối với một tài sản trị giá hàng chục tỷ USD hay không. Liao cho biết đây là khoản tiền lớn nhất từ trước đến nay dành cho một lỗ hổng được phát hiện hoàn toàn bởi một tác nhân AI.

Nguồn

TokenPost: XRP Ledger trao thưởng 250.000 USD cho việc phát hiện lỗ hổng cho phép tạo nguồn cung vô hạn

Cryptopolitan: ZachXBT nhắc lại chỉ trích Ripple keo kiệt sau khoản tiền thưởng 250.000 USD

The Crypto Times: ZachXBT chỉ trích khoản tiền thưởng 250.000 USD cho lỗi của XRP Ledger