RippleX ha lanciato un concorso di sicurezza da $200.000 invitando hacker a identificare vulnerabilità nel XRP Ledger's proposto protocollo di prestito prima che venga attivato, collaborando con la piattaforma di sicurezza blockchain Immunefi per condurre quello che le aziende chiamano un "Attackathon" focalizzato su più di 35.000 linee di codice C++.
Cosa sapere:
- RippleX e Immunefi stanno gestendo una competizione avversaria a tempo definito dal 27 ottobre al 29 novembre 2025, mirata al protocollo di prestito XRPL proposto e a sei standard tecnici correlati.
- L'intero montepremi di $200.000 si sblocca se i ricercatori scoprono anche solo una vulnerabilità critica; in caso contrario, un premio di consolazione di $30.000 sarà distribuito tra i partecipanti che inviano risultati validi.
- Il programma testa l'infrastruttura di prestito nativa del ledger costruita direttamente nell'XRP Ledger anziché tramite smart contract esterni, coprendo sistemi di credito senza garanzie a termine governati dallo standard XLS-66.
Testare la sicurezza del protocollo prima del lancio
RippleX ha annunciato l'iniziativa il 13 ottobre, affermando che la competizione "testerà e rafforzerà" il protocollo di prestito offrendo un percorso educativo per aiutare i ricercatori di sicurezza a comprendere l'architettura del ledger XRP. Immunefi ha descritto l'impegno come una "competizione avversaria a tempo definito per identificare vulnerabilità prima che il protocollo raggiunga la produzione."
Il programma include una fase educativa che si svolge dal 13 al 27 ottobre, durante la quale Immunefi fornisce tutorial specifici per il ledger, guide Devnet, ambienti di test e materiali didattici sul C++.
I ricercatori di sicurezza avranno accesso diretto agli ingegneri di Ripple durante questo periodo.
La competizione effettiva si svolge dal 27 ottobre al 29 novembre.
I premi saranno erogati in RLUSD, la stablecoin di Ripple ancorata al dollaro, e i partecipanti devono completare la verifica know-your-customer attraverso il processo di triage di Immunefi. La struttura del premio crea un risultato binario: se i ricercatori trovano almeno una vulnerabilità critica, l'intero montepremi di $200.000 diventa disponibile secondo le regole di distribuzione piatta con bonus di rendimento. Se non emergono difetti critici, Immunefi dividerà $30.000 tra coloro che hanno presentato risultati validi di gravità inferiore.
Standard tecnici e credito istituzionale
L'Attackathon mira a sei standard tecnici che formano la base di ciò che Ripple chiama "DeFi istituzionale" sull'XRP Ledger. Il focus principale è l'XLS-66, che definisce il protocollo di prestito stesso, ma i ricercatori esamineranno anche l'XLS-65 per vault a singolo asset, l'XLS-33 per i token multiuso, l'XLS-70 per le credenziali, l'XLS-77 per la funzionalità deepfreeze e l'XLS-80 per i domini autorizzati.
Questi standard riflettono l'approccio di Ripple alla costruzione di mercati del credito direttamente nel ledger anziché sovrapporli tramite smart contract. La documentazione tecnica dell'azienda descrive un sistema per prestiti pool con applicazione on-chain abbinata a valutazione del credito off-chain.
Gli standard adiacenti gestiscono i requisiti di conformità, il recupero degli asset e i controlli di identità come funzioni native del ledger.
Il brief della competizione di Immunefi specifica che i ricercatori dovrebbero concentrarsi su vulnerabilità che influenzano la sicurezza dei fondi, la solvibilità del vault, i calcoli di interesse, la rappresentazione del debito, i meccanismi di recupero, la semantica del congelamento, i registri amministrativi e i controlli di accesso autorizzati. L'enfasi sulla logica a livello di ledger distingue questo programma dai tipici bug bounty degli smart contract che si concentrano su problemi di Solidity o della Ethereum Virtual Machine.
Ripple ha discusso di questa architettura durante settembre, posizionando gli standard di prestito e vault come infrastruttura fondamentale per i mercati del credito istituzionali. Il design evita gli asset avvolti e i contratti di terze parti, il che significa che i ricercatori di sicurezza devono cercare difetti nell'implementazione del protocollo base piuttosto che nelle vulnerabilità a livello contrattuale comuni ad altre piattaforme blockchain.
Comprendere i termini chiave
L'XRP Ledger opera come una rete di pagamento decentralizzata che elabora transazioni attraverso un protocollo di consenso anziché attraverso il mining proof-of-work. A differenza delle blockchain che eseguono smart contract in macchine virtuali, l'XRPL implementa nuove funzionalità tramite emendamenti al protocollo core, richiedendo l'approvazione dei validatori prima dell'attivazione.
Questa differenza architettonica significa che nuove funzionalità come i protocolli di prestito devono essere integrati nel codice base C++ del ledger piuttosto che distribuiti come codice contratto separato.
Il prestito senza garanzie, una caratteristica centrale del protocollo proposto, consente ai mutuatari di ottenere credito senza depositare asset come garanzia. Questo approccio richiede meccanismi robusti di verifica dell'identità e valutazione del credito, che lo standard di credenziali XLS-70 mira a fornire. I prestiti a termine fisso operano su programmi predeterminati con date di rimborso definite, in contrasto con gli accordi perpetui a tasso variabile comuni nelle applicazioni di finanza decentralizzata.
Il termine "Attackathon" combina "attacco" e "maratona", descrivendo un audit di sicurezza intenso e a tempo limitato in cui i ricercatori competono per trovare vulnerabilità. I programmi di bug bounty tipici operano a tempo indeterminato con premi che scalano in base alla gravità della vulnerabilità, mentre gli Attackathon comprimono il periodo di test e offrono premi combinati per creare urgenza. Immunefi è specializzata in queste competizioni per progetti blockchain, avendo condotto programmi simili per altri protocolli prima del lancio.
RLUSD, la stablecoin di Ripple che sarà utilizzata per i pagamenti della competizione, mantiene un ancoraggio uno-a-uno con il dollaro statunitense attraverso riserve di sostegno.
Considerazioni finali
Il programma di sicurezza rappresenta un cambiamento verso test avversari prima della distribuzione in produzione, in particolare per le architetture blockchain non basate su Ethereum dove potrebbero non applicarsi le vulnerabilità convenzionali degli smart contract. Al momento della stampa, XRP veniva scambiato a $2,46, con la data di lancio eventuale del protocollo di prestito non ancora annunciata in attesa dell'esito della competizione di sicurezza.