Penyelidik blockchain ZachXBT mengatakan pada Senin bahwa $250.000 yang dibayarkan Ripple kepada perusahaan keamanan Veria Labs karena menemukan bug yang berpotensi mencetak triliunan XRP terlalu kecil.

Situasi ini kembali memicu kritik ZachXBT yang telah lama disuarakan mengenai cara Ripple memperlakukan para peneliti.

Berapa yang dibayarkan Ripple kepada Veria Labs?

ZachXBT mengkritik imbalan sebesar $250.000 yang diberikan Ripple kepada Veria Labs dalam sebuah unggahan di X pada 12 Oktober. Ia menulis bahwa temuan tersebut “seharusnya menghasilkan bayaran minimal tujuh digit” bagi Veria Labs dan salah satu pendirinya, Cayden Liao.

ZachXBT mengatakan bahwa pembayaran tersebut merupakan bagian dari tren “organisasi bermodal besar” yang memberi imbalan terlalu kecil kepada peneliti keamanan white-hat.

Ia berpendapat bahwa $250,000 terlalu sedikit ketika organisasi yang membayar memiliki “dana kas miliaran,” dan memperingatkan bahwa hadiah yang minim dapat menggoda orang berikutnya yang menemukan celah serupa untuk mengeksploitasinya, alih-alih melaporkannya.

Liao sendiri mengatakan bahwa Ripple membayar Veria bounty maksimum program sebesar $250,000 dan menyebutnya sebagai jumlah terbesar yang pernah dibayarkan untuk kerentanan yang sepenuhnya ditemukan oleh agen AI.

Veria Labs menemukan integer overflow kritis pada mesin pembayaran XRP Ledger, yaitu kode yang menyelesaikan transaksi jual beli melalui buku pesanan bawaan jaringan.

Saat satu pembayaran mengisi banyak penawaran sekaligus, mesin menjumlahkan nilainya tanpa memeriksa overflow. Jika jumlahnya cukup besar, nilainya berputar kembali menjadi angka yang sangat kecil. Penjual dibayar penuh, tetapi pembeli hanya dikenai biaya sebesar angka kecil tersebut.

Perbedaan ini menciptakan XRP baru yang bisa dibelanjakan seperti XRP lainnya.

Ledger memiliki pemeriksaan keamanan bernama “XRPNotCreated” yang dimaksudkan untuk memblokir transaksi apa pun yang menciptakan koin baru. Namun, pemeriksaan itu memiliki bug serupa sehingga gagal mendeteksi ketidakseimbangan tersebut.

Veria mengatakan bahwa agen AI-nya menggabungkan dua bug, yang ditulis pada November 2015 dan Februari 2017, menjadi bukti konsep yang berfungsi. Dalam satu transaksi, agen tersebut mengkreditkan 18.45 triliun XRP ke 256 akun. Jumlah itu sekitar 184 kali pasokan tetap XRP sebesar 100 miliar. Veria memperkirakan jumlah yang berisiko nyaris setara dengan seluruh nilai pasar token tersebut, yaitu $94 miliar, berdasarkan harga $1.59.

Yang menarik, para pengembang tidak menemukan tanda bahwa bug tersebut pernah digunakan. Laporan Ripple mengenai masalah ini menjelaskan bahwa agar serangan dapat terjadi, ratusan penawaran harus diberi harga dengan cara yang tidak akan digunakan oleh trader sungguhan.

Veria melaporkan celah tersebut pada 22 September melalui program bug bounty XRPL dan menerima hadiah sebesar $250,000 atas upayanya.

ZachXBT menyebut $1.5 juta yang diberikan Zcash kepada peneliti Taylor Hornby dalam argumennya yang mengkritik pembayaran Ripple.

Hornby mengungkap bug pemalsuan pada pool terlindung Orchard milik Zcash, sebuah celah yang membuat sekitar $2.3 miliar dalam ZEC berisiko. Ia menerima bounty $750,000 ditambah hibah bonus sebesar $750,000, yang disetujui oleh para pemegang koin dalam putaran retroaktif kuartal ketiga yang membagikan sekitar $8.39 juta.

Direktur eksekutif Shielded Labs, Jason McGee, yang mengajukan nominasi bonus tersebut, berpendapat bahwa jumlah awal hanya sekitar 0.033% dari dana yang berisiko, dibandingkan dengan preseden terendah sebesar 0.24%. Ia menulis bahwa imbalan yang lebih besar merupakan “asuransi murah” bagi protokol tersebut. Seperti temuan Veria, penemuan Hornby juga dibantu oleh AI.

Apakah bug tersebut sudah diperbaiki?

RippleX, tim rekayasa Ripple, mengonfirmasi bug tersebut pada hari yang sama saat Veria melaporkannya. Setelah mengetahui bahwa XRP yang dibuat akibat bug itu ternyata dapat dibelanjakan, mereka mengategorikannya sebagai masalah kritis. Perbaikan digabungkan pada 23 September dan dirilis dalam xrpld 3.4.1 pada 25 September.

Biasanya, perbaikan seperti ini akan melalui proses amendemen, yang mengharuskan lebih dari 80% validator tepercaya mendukungnya selama dua minggu berturut-turut. Namun, kali ini patch tersebut mulai berlaku saat masing-masing server diperbarui.

Pada hari perilisan, lebih dari 80% validator dalam Unique Node List bawaan sudah menjalankannya.

Laporan perusahaan menyatakan bahwa ini adalah perubahan pertama dalam pemrosesan transaksi selama lebih dari sepuluh tahun yang tidak melalui sistem amendemen, karena bug tersebut akan terekspos selama berminggu-minggu sebelum perbaikannya dirilis.

Meski begitu, penundaan perilisan kode sumber ke publik menuai kritik. Justin Bons, pendiri Cyber Capital, mengatakan bahwa XRP telah “menjalankan kode sumber tertutup” hingga seluruh kode 3.4.1 dipublikasikan.

Insinyur RippleX Mayukha Vadari menanggapi kritik tersebut dengan mengatakan bahwa pendekatan lama sudah tidak lagi efektif. Ia menjelaskan bahwa patch kritis tidak dapat disertakan dalam rilis publik rutin karena penyerang akan segera menyadarinya dan merekayasa baliknya.

Para pemikir paling cerdas di dunia kripto sudah membaca buletin kami. Mau bergabung? Ikutlah bersama mereka.