Rippleは、XRP Ledger（XRPL）で固定供給量の約184倍に当たるXRPを生成し得る重大な脆弱性を修正した。もっとも、脆弱性を報告したセキュリティ企業Veria Labsへの報奨金が25万ドル（約3750万円）にとどまったことで、その水準を疑問視する声も上がっている。

12日付のCryptopolitanによると、調査者のZachXBTは、RippleがVeria Labsに支払った報奨金は低すぎると批判した。今回の報告には少なくとも100万ドル以上が妥当だとした上で、数十億ドル規模の資産に関わる欠陥に対し、支払いが25万ドルでは不十分だと主張している。

ZachXBTは、報奨金が低ければ研究者のインセンティブをゆがめかねないとも指摘した。重大な脆弱性を見つけても十分な対価が得られなければ、同様の欠陥を発見した研究者が正式な報告ではなく悪用を選ぶ誘因になり得る、という見方だ。

問題となったのは、XRPLの決済エンジンで見つかった整数オーバーフローの脆弱性だ。決済エンジンは、ネットワーク内蔵のオーダーブックを通じた取引処理を担う。複数の注文が1回の決済で約定する過程で金額を合算する際、オーバーフローの検査が適切に機能していなかった。

整数オーバーフローは、コンピューターが扱える数値の上限を超えた際に計算結果が異常になる現象を指す。今回のケースでは、合算額が実際より大幅に小さい値として処理される可能性があった。その結果、売り手は正規の代金を受け取る一方、買い手は圧縮された金額だけを負担し、差額分に相当するXRPが新たに生じ得る状態だった。

さらに、新規生成を防ぐ安全装置「XRPNotCreated」にも同種の欠陥があり、遮断できなかった。Veria Labsは、自社の人工知能（AI）エージェントが2015年11月と2017年2月に書かれたコード上の脆弱性を結び付け、概念実証に成功したと説明している。

概念実証では、1回の取引で256アカウントに合計18兆4500億XRPを計上できた。固定供給量である1000億XRPの約184倍に当たる。ただし、これは悪用時に起こり得る事態を検証したものであり、実際に同規模のXRPが生成・流通したわけではない。

Veria Labs共同創業者のケイデン・リャオは、Rippleがバグ報奨金プログラムの上限額である25万ドルを支払ったと明らかにした。AIエージェントが主導して発見した脆弱性に対する支払いとしては過去最大だったとも述べている。一方、ZachXBTは、こうした上限設定自体が重大な脆弱性の発見者に十分な動機を与えていないと批判した。

Rippleは、実際に悪用された兆候は確認されていないと発表した。攻撃を成立させるには、数百件の注文を実際の取引では一般的でない価格で並べる必要があったとしている。

Veria Labsは9月22日、XRPLのバグ報奨金プログラムを通じて脆弱性を報告し、RippleXは同日中にこれを確認した。その後、生成されたXRPを利用できる段階まで検証を進め、当該脆弱性を致命的レベルに分類した。

Rippleは修正作業と配布を急いだ。パッチは9月23日にマージされ、9月25日にXRPLソフトウェア「xrpld 3.4.1」に反映された。通常、取引処理方式の変更には、信頼済み検証者の80％以上が2週間連続で同意する改定手続きが必要となる。今回はこれを経ず、各サーバーの更新後に効力が生じる方式を採った。3.4.1の配布当日には、基本ユニークノードリスト（UNL）に含まれる検証者の80％超がすでに同版を稼働させていたという。

Rippleは、改定手続きを経ずに取引処理方式を変更したのは約10年で初めてだと説明した。脆弱性が公開された状態で長期間さらされれば、攻撃者に悪用されるリスクが高まると判断したためとしている。

一方で、修正コードの全面公開を遅らせた対応も議論を呼んだ。Cyber Capital創業者のジャスティン・ボンスは、XRPLが3.4.1の全コード公開まで事実上クローズドソースで運用されたと批判した。これに対し、RippleXのエンジニアであるマユカ・バダリは、従来通りの公開手法では対応が難しかったと反論した。重大な脆弱性の修正コードを通常の公開リリースに含めると、攻撃者が差分を分析し、欠陥を逆追跡する恐れがあるためだという。

今回の論点は、報奨金の水準にとどまらない。大規模ブロックチェーンネットワークにおける脆弱性対応のあり方や、公開原則との両立にも議論が広がっている。ZachXBTは比較例として、約23億ドル（約3450億円）規模の資産を危険にさらし得たZcashの偽造脆弱性を報告した研究者テイラー・ホーンビーに、総額150万ドル（約2億2500万円）が支払われた事例を挙げた。この脆弱性もAIの支援を受けて発見されたという。

重大な脆弱性を迅速に修正することに加え、発見者に妥当な報酬を支払うことも、ブロックチェーン生態系のセキュリティ水準を維持する上で重要な課題となっている。