ZachXBT稱25萬美元XRP Ledger漏洞賞金過低，不足以覆蓋18萬億級缺陷

區塊鏈調查員ZachXBT週一表示，Ripple向安全公司Veria Labs支付的25萬美元（用於發現一個可能鑄造數萬億XRP的漏洞）遠低於合理水平。

這一事件重新點燃了ZachXBT長期以來對Ripple對待研究人員方式的批評。

Ripple到底付給Veria Labs多少錢？

ZachXBT在X平臺的一篇文章中批評了Ripple授予Veria Labs的250,000美元獎金 在一篇發佈於X平臺的文章中 於10月12日發佈。他寫道，該發現“至少應爲Veria Labs及其聯合創始人Cayden Liao帶來七位數（百萬級）的收入”。

ZachXBT表示，此次 payouts 是“資本雄厚的組織”壓低白帽安全研究人員報酬的趨勢之一。

他指出，當付款組織的“金庫擁有數十億美元”時，25萬美元的獎勵太少，並警告說微薄的獎勵可能會誘惑下一個發現此類漏洞的人去利用它，而不是披露它。

廖則表示， Ripple 向Veria支付了該計劃最高25萬美元的獎金，並稱這是有史以來支付給完全由AI代理發現的漏洞的最大金額。

Veria Labs 發現 XRP Ledger支付引擎中存在一個關鍵的整數溢出漏洞，該引擎負責根據網絡內置訂單簿結算交易。

當一個支付同時成交多個報價時，引擎會將金額相加而未檢查是否發生溢出。足夠大的總額會迴繞成一個極小的數字。賣家全額收到付款，但買家僅被收取這個極小的數字。

這一差額創造了新的XRP，可以像其他任何XRP一樣花費。

賬本有一個名爲“XRPNotCreated”的安全檢查機制，旨在阻止任何創建新幣的交易，但它存在類似的漏洞，因此未能檢測到這種不平衡。

Veria 表示，其 AI 智能體將分別於 2015 年 11 月和 2017 年 2 月發現的兩個漏洞串聯起來，構建了一個可工作的概念驗證。該智能體在單筆交易中爲 256 個賬戶注入了 18.45 萬億 XRP。這大約是 XRP 固定供應量 1000 億的 184 倍。Veria 估計，基於 1.59 美元的價格，面臨風險的資金規模幾乎相當於該代幣 940 億美元的總市值。

值得注意的是，開發人員未發現該漏洞曾被利用的跡象。Ripple 關於此問題的報告指出，要實施該攻擊，需要以現實交易者絕不會採用的方式對數百個訂單進行定價。

Veria 於 9 月 22 日通過 XRPL 漏洞賞金計劃報告了該缺陷，並因其努力獲得了 250,000 美元的獎勵。

ZachXBT 引用了 Zcash 向研究人員 Taylor Hornby 支付的 150 萬美元，以此作爲反對 Ripple 付款的理由。

Hornby 披露了一個僞造漏洞 十月 Zcash 的 Orchard 隱私池, 這一缺陷使約 23 億美元的 ZEC 面臨風險，他因此獲得了 750,000 美元的賞金以及一筆等額 750,000 美元的獎金撥款，該撥款由代幣持有者在第三季度回溯性投票中批准，該輪次共分配了約 839 萬美元。

Shielded Labs 執行董事 Jason McGee 提交了獎金提名，他認爲原始金額僅佔風險資金的約 0.033%，而最低先例爲 0.24%。他寫道，更高的獎勵是對協議的一種“廉價保險”。與 Veria 的發現類似，Hornby 的發現也藉助了 AI 技術。

該漏洞是否已修復？

RippleX（Ripple 的工程團隊）在 Veria 報告的當天確認了該漏洞。在發現該漏洞產生的 XRP 實際上可以被花費後，他們將其評級爲嚴重。修復程序於 9 月 23 日合併，並於 9 月 25 日在 xrpld 3.4.1 版本中發佈。

通常，此類修復需經過修正案流程，即需要超過 80% 的受信任驗證人在連續兩週內支持該修正案，但此次補丁是在各服務器升級時生效的。

截至發佈當日，默認唯一節點列表上的超過 80% 的驗證人已經在運行該修復。

該公司的報告指出，這是十多年來首次未通過修正案系統進行的事務處理變更，原因是如果不立即修復，該漏洞將在修復發佈前暴露數週。

儘管如此，推遲公開源代碼的發佈仍招致批評。Cyber Capital 創始人 Justin Bons 表示，在完整 3.4.1 代碼公佈之前，XRP 一直在“運行閉源代碼”。

RippleX 工程師 Mayukha Vadari 對此回應稱，舊有的方式已不再適用。她解釋說，關鍵補丁無法納入常規公開版本中，因爲攻擊者會立即發現並對其進行逆向工程。

如果您正在閱讀這篇文章，說明您已經領先一步。請繼續通過我們的通訊保持關注。