Ripple đã vá một lỗ hổng nghiêm trọng trên XRP Ledger (XRPL) có thể làm phát sinh lượng XRP tương đương 184 lần nguồn cung cố định. Dù vậy, mức thưởng 250.000 USD dành cho bên phát hiện lỗi đang làm dấy lên tranh cãi trong cộng đồng bảo mật.

Theo Cryptopolitan ngày 12/10 (giờ địa phương), điều tra viên blockchain ZachXBT công khai chỉ trích khoản thưởng Ripple trả cho công ty an ninh mạng Veria Labs. Ông cho rằng một lỗ hổng ở mức độ nghiêm trọng như vậy đáng ra phải được trả ít nhất 1 triệu USD, thay vì 250.000 USD.

ZachXBT cảnh báo mức thưởng quá thấp có thể làm méo mó động lực của giới nghiên cứu bảo mật. Theo ông, nếu các chuyên gia phát hiện lỗ hổng nghiêm trọng nhưng không được trả công tương xứng, trong tương lai họ có thể chọn khai thác thay vì báo cáo.

Tâm điểm tranh cãi là lỗi tràn số nguyên trong công cụ xử lý thanh toán của XRP Ledger. Bộ phận này đảm nhiệm việc thực hiện thanh toán dựa trên sổ lệnh tích hợp của mạng lưới.

Cụ thể, cơ chế kiểm tra tràn số đã không hoạt động đúng khi cộng dồn giá trị trong quá trình nhiều lệnh được khớp trong một lần thanh toán. Khi đó, tổng số tiền sau phép cộng có thể bị xử lý thành một giá trị nhỏ hơn rất nhiều so với thực tế.

Kết quả là bên bán vẫn nhận đủ tiền, trong khi bên mua chỉ phải trả phần giá trị đã bị rút gọn do lỗi. Phần chênh lệch từ đó có thể dẫn tới việc phát sinh thêm XRP.

Theo Veria Labs, ngay cả cơ chế an toàn có tên “XRPNotCreated”, vốn được thiết kế để ngăn việc tạo mới XRP, cũng mắc lỗi cùng loại nên không thể chặn kịch bản này. Công ty cho biết AI agent của họ đã liên kết các điểm yếu trong các đoạn mã được viết vào tháng 11/2015 và tháng 2/2017 để xây dựng bằng chứng khái niệm.

Trong quá trình thử nghiệm, chỉ một giao dịch đã có thể ghi có tổng cộng 18.450 tỷ XRP vào 256 tài khoản. Con số này tương đương khoảng 184 lần nguồn cung cố định 100 tỷ XRP.

Tuy nhiên, đây chỉ là kịch bản mô phỏng để xác minh khả năng khai thác. Trên thực tế, lượng XRP ở quy mô này không được tạo ra và cũng không được đưa vào lưu thông.

Đồng sáng lập Veria Labs, Kaiden Liao, cho biết Ripple đã chi mức thưởng tối đa 250.000 USD theo quy định của chương trình săn lỗi. Ông nói thêm đây là khoản chi lớn nhất từ trước tới nay cho một lỗ hổng được AI agent phát hiện hoàn toàn.

Dù vậy, ZachXBT vẫn cho rằng mức trần như vậy là chưa đủ để tạo động lực cho những người phát hiện các lỗ hổng bảo mật nghiêm trọng.

Ripple khẳng định không phát hiện dấu hiệu cho thấy lỗ hổng đã bị khai thác ngoài thực tế. Công ty giải thích rằng để thực hiện một cuộc tấn công như vậy, kẻ tấn công phải đặt hàng trăm lệnh ở các mức giá mà nhà giao dịch thông thường hầu như không sử dụng.

Veria Labs đã báo cáo lỗ hổng thông qua chương trình săn lỗi của XRP Ledger vào ngày 22/9 và RippleX xác nhận ngay trong ngày. Sau đó, hai bên tiếp tục kiểm tra khả năng sử dụng số XRP có thể phát sinh từ lỗi này, trước khi xếp nó vào nhóm lỗ hổng nghiêm trọng.

Ripple sau đó triển khai bản sửa lỗi và phát hành bản vá trong thời gian ngắn. Bản vá được hợp nhất vào ngày 23/9 và được đưa vào xrpld 3.4.1, phần mềm vận hành XRPL, ngày 25/9.

Thông thường, các thay đổi liên quan tới cách xử lý giao dịch phải trải qua quy trình sửa đổi riêng, với điều kiện hơn 80% validator tin cậy đồng thuận liên tiếp trong hai tuần. Tuy nhiên, trong trường hợp này, một cơ chế đặc biệt đã được áp dụng để bản vá có hiệu lực ngay sau khi từng máy chủ cập nhật.

Ngay trong ngày phiên bản 3.4.1 được phát hành, hơn 80% validator trong danh sách nút duy nhất mặc định (UNL) đã chạy phiên bản này.

Ripple cho biết đây là lần đầu tiên trong hơn 10 năm công ty thay đổi cách xử lý giao dịch mà không thông qua quy trình sửa đổi thông thường. Lý do là nếu lỗ hổng bị công khai trong thời gian dài, nguy cơ bị kẻ xấu khai thác sẽ tăng lên.

Dù vậy, cách xử lý sự cố cũng gây thêm tranh cãi khi việc công bố đầy đủ mã nguồn bị chậm. Nhà sáng lập Cyber Capital, Justin Bons, chỉ trích XRPL đã vận hành theo cách gần giống phần mềm nguồn đóng cho đến khi toàn bộ mã của phiên bản 3.4.1 được công bố.

Đáp lại, kỹ sư RippleX Mayukha Badari cho rằng cách công khai truyền thống không còn phù hợp với những lỗ hổng đặc biệt nghiêm trọng. Theo ông, nếu đưa mã sửa lỗi vào một bản phát hành công khai theo thông lệ, kẻ tấn công có thể phân tích các thay đổi để lần ngược ra điểm yếu.

Tranh cãi hiện không chỉ dừng ở mức thưởng săn lỗi, mà còn mở rộng sang cách ứng phó với lỗ hổng và nguyên tắc công khai của các mạng blockchain lớn. ZachXBT dẫn ví dụ Zcash từng trả tổng cộng 1,5 triệu USD cho nhà nghiên cứu Taylor Hornby vì báo cáo một lỗ hổng giả mạo có thể đe dọa khối tài sản khoảng 2,3 tỷ USD.

Lỗ hổng của Zcash cũng được phát hiện với sự hỗ trợ của AI.

Vụ việc cho thấy bên cạnh tốc độ vá lỗi, việc trả thưởng tương xứng cho người phát hiện lỗ hổng cũng đang trở thành yếu tố quan trọng để duy trì an toàn cho hệ sinh thái blockchain.