Bir yapay zeka, 18 trilyon XRP yaratabilecek bir hata buldu. Ödül 250.000 dolardı.

Veria Labs’ın temsilcisi, XRP Ledger’da on yıl öncesine ait bir taşma hatasını ortaya çıkardı. Sorunun giderilmesi üç gün sürdü. İnsanların tartıştığı konu ise ödülün büyüklüğü.

Tek bir işlem. Yaklaşık 18,45 trilyon XRP; bu, token'ın 100 milyarlık toplam arzının 184 katıdır; sıfırdan yaratılmış ve defterin kapandığı anda harcanabilir hale gelmiştir. Veria Labs'ın yapay zeka ajanı, XRP Ledger'ın ödeme motorunda, 2015'ten beri aktif olan kodda bunu keşfetti.

Kimse bunu başaramadı. XRPL’nin kendi açıklama raporunda, “bu sorunun herhangi bir halka açık ağda istismar edildiğine dair kanıt bulunmadığı” belirtiliyor. RippleX, raporun yayınlanmasından sonraki üç gün içinde bu açığı kapattı ve Veria’ya, hata ödül programının sunduğu en yüksek tutar olan 250.000 dolar ödendi. Zincir içi araştırmacı ZachXBT, bu ödemeyi “cimri” olarak nitelendirdi ve o günden beri tartışmalar dinmek bilmiyor.

İki taşma, bir çok kötü işlem

Bir ödeme, emir defterindeki aynı fiyattaki teklif yığınını tükettiğinde, motor alıcının borcunu hesaplar. Bu toplamda, taşma kontrolü yapılmayan imzalı bir 64 bitlik tamsayı kullanılıyordu. Yeterince büyük teklifler girildiğinde, toplam tutar sıfırlanarak çok küçük bir rakama dönüşür. Her teklif sahibi yine de tam olarak ödeme alır. Alıcıdan ise sıfırlanan tutar tahsil edilir. Aradaki fark, yepyeni XRP'dir.

Defterde tam da bu durum için bir koruma mekanizması vardır; XRP oluşturan herhangi bir işlemi reddeden bir değişmezlik kuralı. Bakiye değişikliklerini de aynı şekilde, aynı tür bir sayaçta topladığı için, aynı şekilde sıfırlanmıştır ve sistem bunu sıradan bir ücret yakımı olarak algılamıştır. Veria'nın yazısında, teklif toplama kodunun Kasım 2015'e, değişmezliğin ise Şubat 2017'ye ait olduğu belirtiliyor.

Yöntem neredeyse aşağılayıcı derecede basitti: Her biri yaklaşık 72 milyar XRP talep eden 256 teklif, ardından hepsini silip süpürmek için tek bir ödeme. XRPL, hesap başına 100 milyar sınırını uyguladığından, basılan coin'lerin 256 cüzdana dağıtılması gerekiyordu. XRPL ekibine göre, saldırganın gerçek maliyeti, iade edilebilir rezervlerdeki birkaç yüz XRP artı ücretlerdi. Ayrıca bu, tesadüfen gerçekleşemezdi; zira hiçbir sıradan işlem taşma noktasına yaklaşmaz.

Veria’nın güvenlikten sorumlu kurucu ortağı Cayden Liao, X’te her bir kusurun tek başına düşük ciddiyet derecesine sahip olacağını yazdı ve on yıllık denetimlerde bu ikilinin gözden kaçmasının nedeninin bu olduğunu düşünüyor. Veria, daha sonra genel amaçlı kodlama araçlarını aynı koda yönlendirdiğini ancak yine de sorunu bulamadıklarını belirtiyor.

18 trilyon ne kadar büyük bir rakam?

Kimin saydığına bağlı. Veria, çalınan miktarı yaklaşık 29 trilyon dolar olarak değerlendiriyor. Diğer yazılarda ise yaklaşık 25 trilyon dolar rakamı kullanılıyor. Her ikisi de kağıt üzerinde yapılan hesaplamalardır, çünkü kimse 18 trilyon token'ı, önceden sıfıra düşecek bir piyasaya satmaz. Veria'nın kendi değerlendirmesi daha gerçekçi: 94 milyar dolarlık XRP piyasa değerinin tamamı risk altındaydı; bu, kayıtlara geçen en büyük hack olan Bybit'in 1,5 milyar dolarlık kaybının 60 katından fazlasıydı.

Üç gün, oylama yok

Veria'nın temsilcisi, 21 Eylül Pazartesi günü bu hatayı bildirdi. Hata 22'sinde rapor edildi ve doğrulandı, düzeltme 23'ünde birleştirildi ve xrpld 3.4.1, 25 Eylül'de piyasaya sürüldü; varsayılan UNL doğrulayıcılarının%80'inden fazlası bu sürümü halihazırda kullanıyordu.

Normalde XRPL, işlem kurallarını bir değişiklik önerisiyle değiştirir. Doğrulayıcılar oylama yapar, ardından%80'den fazla desteğin iki hafta boyunca korunması gerekir. Rapora göre bu düzeltme, on yılı aşkın bir süredir ilk kez tüm bu aşamaları atladı. Bunun nedeni: xrpld açık kaynaklı olduğundan, bir değişiklik önerisi, hata istismar edilebilir durumda kalırken haftalarca bu hatanın ortada kalmasına neden olacaktı. Rapor, bunun getireceği maliyeti de kabul ediyor. Yükseltme süresi boyunca, farklı sürümlerdeki sunucular bir istismar işlemi konusunda anlaşmazlığa düşebilir ve en kötü durumda ağ durma noktasına gelebilir. Ekip, ağın durmasının, canlı ve halka açık bir madeni para basımından daha iyi bir seçenek olduğuna karar verdi.

Herkes bu kararından memnun değildi. Cyber Capital'dan Justin Bons, 3.4.1 kaynak kodunun ikili dosyaların yayınlanmasından çok sonra yayınlandığı için XRP'nin iki hafta boyunca kapalı kaynak kodla çalıştığını yazdı. RippleX mühendisi Mayukha Vadari ise “Yapay zeka işleri değiştirdi” diye yanıt verdi: Kritik bir yamayı rutin bir halka açık sürüme gizlice eklediğinizde, bu yama neredeyse anında tersine mühendisliğe maruz kalır.

Aynı sürüm, henüz canlıya geçmemiş bir özellik olan Batch'teki ayrı bir hatayı da düzeltti. Bu düzeltme ve Batch özelliği 9 Ekim Cuma günü devreye girdi ve eski sürümlerdeki sunucular artık senkronize kalamıyor.

250.000 dolarlık mücadele

İfşa raporunun ertesi günü, XRP Ledger Vakfı bir açıklama dizisi yayınladı. Raporda, hiçbir XRP yaratılmadığı ve arzın sabit kaldığı belirtildi. Ayrıca, resmi doğrulama, yapay zeka karşıt testleri ve daha güçlü bir ödül programı vaat edildi, ancak herhangi bir dolar rakamı belirtilmedi.

Ardından ZachXBT konuya müdahil oldu. Milyarlarca dolarlık bir hazine, sınırsız arz hatası için bir beyaz şapkaya neden 250.000 dolar ödüyor? Cevabı şuydu: Bir dahaki sefere, bir saldırgan "iyi niyetle bildirmek yerine 9 haneli bir rakam" peşine düşebilir. BlockTempo'nun haberine göre, birkaç dakika sonra konuyu tekrar gündeme getirerek, bu keşfin en az 7 haneli bir ödülü hak ettiğini belirtti ve Zcash'e atıfta bulundu. Zcash token sahipleri, Mayıs ayında Claude Opus 4.8'in yardımıyla Orchard sahtecilik hatasını bulan Taylor Hornby'ye 1,5 milyon dolarlık bir ödül onayladı: crypto.news'e göre, 750.000 dolarlık ödül artı 750.000 dolarlık topluluk hibesi, henüz uyumluluk kontrollerinin sonuçlanmasını bekliyor.

XRP savunucuları ise durumu farklı görüyor. Programın açıklanan üst sınırı 250.000 dolar olup, Veria başvuruda bulunarak bu tutarın tamamını aldı ve kendi gönderisinde XRPL ekibine teşekkür etti. Veria, bunu tamamen bir yapay zeka ajanı tarafından bulunan bir hata için bildiği en büyük ödeme olarak nitelendiriyor. BlockTempo, kendini Vakıf katkıcısı olarak tanıtan Vet'in, teşvik yapısına katıldığını söylediğini bildiriyor. RippleX mühendislik başkanı J. Ayo Akinyele, ekibin yapay zeka destekli hata avcılığı ve resmi doğrulama çalışmalarını genişleteceğini söyledi.

Kimsenin düzeltemeyeceği kısım

Veria yanlış bir şey yapmadı, ilan ettiği tutarı ödeyen program da öyle. Sorun, üst sınırda yatıyor. 250.000 dolar, Veria’nın ortaya çıktığını söylediği piyasa değerinin yaklaşık%0,0003’ü kadar ve Zcash’in temel ödül tutarı tek başına bunun üç katıydı.

Yapay zeka, eski hataların herkes tarafından daha ucuza bulunmasını sağlıyor. Veria, yaz aylarında yaşanan Coldcard hırsızlığına işaret ediyor; Coinkite’in yapay zekanın bulunmasına yardımcı olduğunu düşündüğü beş yıllık bir donanım yazılımı hatası yoluyla 1.367 BTC çalınmıştı. Bu sefer bulucu bir rapor sunmuştu. Bir sonraki olayda bu kararın bedeli farklı olabilir; ZachXBT’nin asıl vurgulamak istediği de budur ve bu hesaplamaya karşı çıkmak zor.

Bu yazının yazıldığı sırada Veria için ek ödül veya yeni bir ödül üst sınırı açıklanmamıştı.