ZachXBT、XRP Ledgerの18兆規模の脆弱性に対し25万ドルのバグ報奨金は「低すぎる」

ブロックチェーン調査家のZachXBT氏は月曜日、トリリオン単位のXRPを生成する可能性があったバグを発見したセキュリティ企業ベリア・ラボに対し、リップルが支払った25万ドルは非常に少額だと述べました。

この出来事は、研究者に対するリップルの扱いに対するZachXBT氏の長年の批判に火をつけました。

リップルはベリア・ラボにいくら支払ったのか？

ZachXBT氏は、リップルからベリア・ラボに授与された250,000を批判しました Xでの投稿において 10月12日付けで。彼は、この発見はベリア・ラボおよび共同創設者のケイデン・リアオにとって「最低でも7桁（百万ドル単位）の収入源になるべきだ」と書き記しました。

ZachXBT氏は、この支払いが「資金力のある組織」によるホワイトハットセキュリティ研究者への不当な低評価の一傾向であると指摘しました。

彼は、支払い元の組織の「財務状況が数十億ドル規模である」ことを考慮すると、25万ドルは少なすぎると主張し、そのような脆弱性を見つけた次の人物が、開示するのではなく悪用する誘惑に駆られる可能性があることを警告しました。

一方、リアオ氏は次のように述べています リップル Veriaは、このプログラムが設定した最大賞金である25万ドルを支払うとともに、AIエージェントのみによって発見された脆弱性に対して支払われた過去最大の金額であると指摘しました。

Veria Labs 発見 XRP Ledgerの支払いエンジンにおける重大な整数オーバーフロー。これは、ネットワーク内の組み込み注文帳に対して取引を決済するコードです。

1つの支払いが一度に多数のオファーを満たす場合、エンジンはオーバーフローをチェックせずに金額を加算していました。合計額が大きすぎると、値がラップアラウンドして極小の数値になっていました。売り手は満額支払われましたが、買い手は極小の数値しか課金されませんでした。

この差額により、他のXRPと同じように使用できる新規XRPが生成されました。

台帳には、新規コインの作成を伴うトランザクションをブロックするための安全策「XRPNotCreated」が存在しますが、同様のバグがあったため、不均衡を見逃してしまいました。

Veriaによれば、そのAIエージェントは2015年11月と2017年2月に書かれた2つのバグを連鎖させ、動作する概念実証を作成しました。単一のトランザクションで256のアカウントに計18.45兆XRPをクレジットしました。これは、XRPの固定供給量1000億の約184倍に相当します。Veriaは、1.59ドルという価格に基づき、リスクにさらされていた金額はトークンの時価総額（約940億ドル）のほぼ全体に及ぶと推定しています。

特筆すべきは、開発者らはこのバグが実際に使用された形跡を見つけられなかったことである。リップルの問題に関する報告書では、攻撃が発生するには、数百のオファーが現実のトレーダーが決して用いない価格設定をしなければならないと説明している。

Veriaは9月22日、XRPLのバグ報奨金プログラムを通じてこの脆弱性を報告し、その取り組みに対して25万ドルの報奨金を受け取った。

ZachXBTは、リップルの支払いに対する反対意見の中で、Zcashが研究者Taylor Hornbyに支払った150万ドルに言及した。

Hornby 偽造バグを 計画を ZcashのOrchardシールドプール明らかにし、約23億ドル相当のZECが危険に晒される脆弱性があったが、75万ドルの報奨金に加えて、第3四半期の遡及ラウンドで約839万ドルが配布され、コインホルダーによって承認された同等額の75万ドルのボーナス付与も受け取った。

ボーナス提名を提出したShielded Labsのエグゼクティブ・ディレクター、Jason McGeeは、元の金額はリスクのある資金のわずか0.033%に過ぎず、最低の前例でも0.24%であると主張した。彼は、より高い報酬がプロトコルにとって「手頃な保険」だと書き記した。Veriaの発見と同様に、Hornbyの発見もAI支援によるものだった。

バグは修正されましたか？

RippleX（リップルのエンジニアリングチーム）は、Veriaがバグを報告した同日にその存在を確認しました。このバグによって生成されたXRPが実際に使用可能であることを発見した後、同社はこれを「クリティカル」と評価しました。修正プログラムは9月23日にマージされ、9月25日にxrpld 3.4.1としてリリースされました。

通常、このような修正は改正プロセスを経て適用されますが、これには80%以上の信頼できるバリデーターが2週間連続で支持する必要があります。今回は、各サーバーのアップグレードに合わせてパッチが順次有効化されました。

リリース日には、デフォルトのユニークノードリスト上のバリデーターの80%以上がすでにこの修正を実行していました。

同社のレポートによると、これは改正システムを経ずに実施された初のトランザクション処理変更であり、バグが修正プログラムのリリースまで数週間にわたって露出していたことが理由です。

それでも、公開ソースコードのリリースを遅らせたことに対して批判の声が上がりました。サイバーキャピタル創設者のJustin Bons氏は、完全な3.4.1のコードが公開されるまでXRPは「クローズドソースのコード」で動作していたと述べています。

RippleXのエンジニア、Mayukha Vadari氏はこの批判に対し、古いアプローチはもはや機能しないと回答しました。彼女は、攻撃者がこれを発見しすぐにリバースエンジニアリングしてしまうため、重要なパッチを通常の公開リリースに含めることはできないと説明しました。

最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。