资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
ZachXBT质疑Ripple对漏洞研究者的奖励过低，引发行业争议
区块链调查专家ZachXBT于周一指出，Ripple向安全公司Veria Labs支付的25万美元奖金，用于发现一个可能铸造数万亿美元的XRP的漏洞，这一金额远低于合理水平。此事重新点燃了ZachXBT长期以来对Ripple对待研究人员方式的批评。
Ripple向Veria Labs支付了多少奖金？
ZachXBT在10月12日发布的帖子中批评了Ripple向Veria Labs授予的25万美元奖金。他写道，对于Veria Labs及其联合创始人Cayden Liao而言，这一发现“至少应带来七位数的收入”。ZachXBT表示，这种 payouts 是“资本雄厚的组织”亏待白帽安全研究人员趋势的一部分。他认为，当支付组织的“国库拥有数十亿美元”时，25万美元太少了，并警告说微薄的奖励可能会诱使下一个发现此类缺陷的人选择利用它而不是披露它。
Liao方面则表示，Ripple支付了该项目的最高25万美元赏金，并称这是由AI代理完全发现的漏洞所获得的史上最大金额。Veria Labs在XRP Ledger的支付引擎中发现了一个关键的整数溢出漏洞，该引擎负责根据网络内置订单簿结算交易。当一个付款同时填充多个报价时，引擎会将金额相加而未检查是否溢出。足够大的总数会回绕成一个小数字。卖家全额收到付款，但买家仅被收取极小的数字。这一差额创造了可以像其他任何货币一样花费的新XRP。
账本有一个安全检查“XRPNotCreated”，旨在阻止任何创建新硬币的交易，但它存在类似的漏洞，因此未能检测到不平衡。Veria表示，其AI代理将两个分别写于2015年11月和2017年2月的漏洞串联起来，形成了一个可行的概念验证。它在单笔交易中向256个账户贷记了18.45万亿枚XRP。这大约是XRP固定供应量1000亿的184倍。Veria估计，基于1.59美元的价格，面临风险的资金接近代币近940亿美元的市场价值。
值得注意的是，开发人员未发现该漏洞曾被使用的迹象。Ripple关于该问题的报告解释说，要发生攻击，数百个报价需要以现实交易者不会使用的方式进行定价。Veria通过XRPL漏洞赏金计划于9月22日报告了这一缺陷，并因其努力获得了25万美元的奖励。
ZachXBT在他的论点中提到了Zcash向研究人员Taylor Hornby颁发的150万美元奖金。Hornby披露了Zcash Orchard隐蔽池中的伪造漏洞，这一缺陷使约23亿美元的ZEC面临风险，并获得了75万美元的赏金以及另一笔75万美元的匹配奖金，后者是在第三季度回溯轮次中获得硬币持有者批准的，该轮次分发了约839万美元。Shielded Labs执行总监Jason McGee提交了奖金提名，他认为原始金额仅占面临资金的约0.033%，而最低先例为0.24%。他写道，更高的奖励对该协议来说是“廉价的保险”。与Veria的发现类似，Hornby的发现也是AI辅助完成的。
该漏洞是否已修复？
Ripple的工程团队RippleX在Veria报告的当天确认了该漏洞。在发现该漏洞创建的XRP实际上可以被花费后，他们将其评级为关键。修复程序于9月23日合并，并于9月25日在xrpld 3.4.1版本中发布。通常，此类修复会通过修正案流程，这需要超过80%的可信验证器连续两周支持，但此次补丁随着每个服务器的升级而生效。到发布之日，默认唯一节点列表上的超过80%的验证器已经在运行它。
公司的报告指出，这是十多年来第一个未通过修正案系统的交易处理变更，因为该漏洞将在修复程序发布前暴露数周。尽管如此，推迟公开源代码发布仍受到批评。Cyber Capital创始人Justin Bons表示，在完整3.4.1代码发布之前，XRP一直在“运行闭源代码”。RippleX工程师Mayukha Vadari回应了批评，称旧方法不再有效。她解释说，关键补丁不能包含在常规公共发布中，因为攻击者会发现它并立即逆向工程它。
