El investigador de blockchain ZachXBT (@zachxbt) criticó a Ripple (@Ripple) por pagar 250.000 dólares a un investigador que descubrió una vulnerabilidad crítica en el XRP Ledger ($XRP). El error podría haber permitido a un atacante crear 18 billones de XRP en una sola transacción, una cifra equivalente a unas 184 veces la oferta fija de 100.000 millones de tokens.
El cofundador de Veria Labs, Cayden Liao (@Cayden_Liao), recibió la recompensa máxima disponible en el programa de recompensas.
Qué podría haber permitido hacer el error del XRP Ledger
El fallo era un desbordamiento de enteros en el motor de pagos que existía desde 2015. Según Cryptopolitan, el código afectado liquida operaciones mediante el libro de órdenes integrado en la red. Un atacante podría haber creado cientos de cuentas falsas, cada una ofreciendo una pequeña cantidad de un token a cambio de una gran cantidad de XRP. Al combinar esas operaciones en un solo pago, podría haber provocado que los cálculos del sistema interpretaran un número enorme como si fuera diminuto.
La cifra de 18 billones procede de una prueba, no de pérdidas reales. Según TokenPost, la cifra de 18,45 billones de XRP se obtuvo en una demostración controlada de un exploit, no de tokens que se hubiera demostrado que entraron en circulación. La XRP Ledger Foundation afirmó que el suministro original de XRP permanecía intacto, aparte de las comisiones de transacción destruidas, y que su monitoreo no había detectado emisiones no autorizadas.
En cuanto a la cronología, Veria Labs informó de la vulnerabilidad el 22 de septiembre, tras descubrirla el 21 de septiembre, y el 25 de septiembre se publicó una actualización de emergencia, cuando más del 80 % de los validadores de la UNL predeterminada ejecutaban el software parcheado o una versión más reciente. Los cambios en XRP Ledger suelen pasar por un proceso de votación de dos semanas entre los validadores, pero RippleX entregó la solución directamente a estos el 25 de septiembre.
Por qué ZachXBT considera que el pago fue demasiado bajo
ZachXBT criticó el pago en una publicación del 12 de octubre y preguntó por qué Ripple pagaba tan poco al hacker ético, solo $250K, cuando su tesorería cuenta con miles de millones. Escribió que el hallazgo debería haber merecido un pago de siete cifras como mínimo. También advirtió que las recompensas escasas podrían tentar a la próxima persona que encuentre un fallo similar a explotarlo en vez de divulgarlo.
Señaló otras recompensas como referencia. ZachXBT destacó la recompensa de $1,5 millones que Zcash otorgó a Taylor Hornby como un referente más justo, mientras que un hacker de Ethereum recibió una recompensa por errores de $2 millones en 2022 por divulgar un posible exploit que podría generar una cantidad ilimitada de ETH.
Quienes defienden el pago señalan que la recompensa de $250.000 correspondía al nivel máximo del programa de XRPL, que el fallo se divulgó de forma responsable, que la solución se implementó antes de la divulgación pública y que no se produjeron pérdidas. Veria señaló que XRPL ha pagado más de $1 millón en recompensas por errores y ha realizado más de una docena de auditorías y concursos de auditoría desde 2024. En el momento de la publicación de The Crypto Times, ni la XRP Ledger Foundation ni Ripple habían respondido públicamente a las críticas.
El debate gira en torno a si una recompensa limitada refleja la magnitud del riesgo para un activo valorado en decenas de miles de millones de dólares. Liao afirmó que fue la mayor recompensa jamás pagada por una vulnerabilidad descubierta íntegramente por un agente de IA.
Fuentes
TokenPost: XRP Ledger paga una recompensa de $250.000 por una vulnerabilidad que permitía crear una cantidad ilimitada de XRP
Cryptopolitan: ZachXBT renueva sus críticas a Ripple por ser «tacaña» tras una recompensa de $250K
The Crypto Times: ZachXBT arremete contra la recompensa de $250K por un fallo de XRP Ledger