ZachXBT称25万美元XRP Ledger漏洞赏金过低，不足以覆盖18万亿级缺陷

区块链调查员ZachXBT周一表示，Ripple向安全公司Veria Labs支付的25万美元（用于发现一个可能铸造数万亿XRP的漏洞）远低于合理水平。

这一事件重新点燃了ZachXBT长期以来对Ripple对待研究人员方式的批评。

Ripple到底付给Veria Labs多少钱？

ZachXBT在X平台的一篇文章中批评了Ripple授予Veria Labs的250,000美元奖金 在一篇发布于X平台的文章中 于10月12日发布。他写道，该发现“至少应为Veria Labs及其联合创始人Cayden Liao带来七位数（百万级）的收入”。

ZachXBT表示，此次 payouts 是“资本雄厚的组织”压低白帽安全研究人员报酬的趋势之一。

他指出，当付款组织的“金库拥有数十亿美元”时，25万美元的奖励太少，并警告说微薄的奖励可能会诱惑下一个发现此类漏洞的人去利用它，而不是披露它。

廖则表示， Ripple 向Veria支付了该计划最高25万美元的奖金，并称这是有史以来支付给完全由AI代理发现的漏洞的最大金额。

Veria Labs 发现 XRP Ledger支付引擎中存在一个关键的整数溢出漏洞，该引擎负责根据网络内置订单簿结算交易。

当一个支付同时成交多个报价时，引擎会将金额相加而未检查是否发生溢出。足够大的总额会回绕成一个极小的数字。卖家全额收到付款，但买家仅被收取这个极小的数字。

这一差额创造了新的XRP，可以像其他任何XRP一样花费。

账本有一个名为“XRPNotCreated”的安全检查机制，旨在阻止任何创建新币的交易，但它存在类似的漏洞，因此未能检测到这种不平衡。

Veria 表示，其 AI 智能体将分别于 2015 年 11 月和 2017 年 2 月发现的两个漏洞串联起来，构建了一个可工作的概念验证。该智能体在单笔交易中为 256 个账户注入了 18.45 万亿 XRP。这大约是 XRP 固定供应量 1000 亿的 184 倍。Veria 估计，基于 1.59 美元的价格，面临风险的资金规模几乎相当于该代币 940 亿美元的总市值。

值得注意的是，开发人员未发现该漏洞曾被利用的迹象。Ripple 关于此问题的报告指出，要实施该攻击，需要以现实交易者绝不会采用的方式对数百个订单进行定价。

Veria 于 9 月 22 日通过 XRPL 漏洞赏金计划报告了该缺陷，并因其努力获得了 250,000 美元的奖励。

ZachXBT 引用了 Zcash 向研究人员 Taylor Hornby 支付的 150 万美元，以此作为反对 Ripple 付款的理由。

Hornby 披露了一个伪造漏洞 十月 Zcash 的 Orchard 隐私池, 这一缺陷使约 23 亿美元的 ZEC 面临风险，他因此获得了 750,000 美元的赏金以及一笔等额 750,000 美元的奖金拨款，该拨款由代币持有者在第三季度回溯性投票中批准，该轮次共分配了约 839 万美元。

Shielded Labs 执行董事 Jason McGee 提交了奖金提名，他认为原始金额仅占风险资金的约 0.033%，而最低先例为 0.24%。他写道，更高的奖励是对协议的一种“廉价保险”。与 Veria 的发现类似，Hornby 的发现也借助了 AI 技术。

该漏洞是否已修复？

RippleX（Ripple 的工程团队）在 Veria 报告的当天确认了该漏洞。在发现该漏洞产生的 XRP 实际上可以被花费后，他们将其评级为严重。修复程序于 9 月 23 日合并，并于 9 月 25 日在 xrpld 3.4.1 版本中发布。

通常，此类修复需经过修正案流程，即需要超过 80% 的受信任验证人在连续两周内支持该修正案，但此次补丁是在各服务器升级时生效的。

截至发布当日，默认唯一节点列表上的超过 80% 的验证人已经在运行该修复。

该公司的报告指出，这是十多年来首次未通过修正案系统进行的事务处理变更，原因是如果不立即修复，该漏洞将在修复发布前暴露数周。

尽管如此，推迟公开源代码的发布仍招致批评。Cyber Capital 创始人 Justin Bons 表示，在完整 3.4.1 代码公布之前，XRP 一直在“运行闭源代码”。

RippleX 工程师 Mayukha Vadari 对此回应称，旧有的方式已不再适用。她解释说，关键补丁无法纳入常规公开版本中，因为攻击者会立即发现并对其进行逆向工程。

如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。