Penyelidik blockchain ZachXBT (@zachxbt) mengkritik Ripple (@Ripple) karena membayar $250.000 kepada peneliti yang menemukan kerentanan kritis di XRP Ledger ($XRP). Bug tersebut dapat memungkinkan penyerang membuat 18 triliun XRP dalam satu transaksi, jumlah yang sekitar 184 kali lebih besar daripada suplai tetap token sebesar 100 miliar.

Pendiri bersama Veria Labs, Cayden Liao (@Cayden_Liao), menerima hadiah maksimum yang tersedia dalam program bug bounty.

Dampak yang dapat ditimbulkan bug XRP Ledger

Celah tersebut berupa integer overflow pada mesin pembayaran yang sudah ada sejak 2015. Menurut Cryptopolitan, kode yang terdampak menyelesaikan perdagangan melalui buku pesanan bawaan jaringan. Penyerang dapat membuat ratusan akun palsu, yang masing-masing menawarkan sejumlah kecil token untuk XRP dalam jumlah besar. Menggabungkan perdagangan tersebut menjadi satu pembayaran dapat menyebabkan sistem membaca angka yang sangat besar sebagai angka yang sangat kecil dalam perhitungannya.

Angka 18 triliun berasal dari sebuah pengujian, bukan kerugian nyata. Menurut TokenPost, angka 18,45 triliun XRP berasal dari demonstrasi eksploitasi terkendali, bukan token yang terbukti masuk ke peredaran. XRP Ledger Foundation mengatakan pasokan asli XRP tetap utuh, selain biaya transaksi yang dimusnahkan, dan pemantauannya tidak menemukan penerbitan tanpa izin.

Menurut linimasa, Veria Labs melaporkan kerentanan tersebut pada 22 Sept. setelah menemukannya pada 21 Sept., dan pembaruan darurat menyusul pada 25 Sept., ketika lebih dari 80% validator pada UNL bawaan telah menjalankan perangkat lunak yang sudah ditambal atau versi yang lebih baru. Perubahan XRP Ledger biasanya melalui proses pemungutan suara selama dua minggu di antara para validator, tetapi RippleX mengirimkan perbaikan tersebut langsung kepada validator pada 25 Sept.

Mengapa ZachXBT mengatakan pembayaran itu terlalu rendah

ZachXBT mengkritik pembayaran tersebut dalam sebuah unggahan pada 12 Okt., mempertanyakan mengapa Ripple hanya membayar $250 ribu kepada peretas etis (white hat), padahal perusahaan itu memiliki miliaran dolar di kasnya. Ia menulis bahwa temuan tersebut seharusnya menghasilkan bayaran minimal tujuh digit. Ia juga memperingatkan bahwa imbalan yang kecil dapat menggoda orang berikutnya yang menemukan celah serupa untuk mengeksploitasinya alih-alih melaporkannya.

Ia menunjuk program hadiah lain sebagai tolok ukur. ZachXBT menyebut hadiah Zcash sebesar $1,5 juta kepada Taylor Hornby sebagai tolok ukur yang lebih adil, sementara seorang peretas Ethereum menerima hadiah bug sebesar $2 juta pada 2022 karena melaporkan potensi eksploitasi yang dapat menciptakan pasokan ETH tanpa batas.

Pihak yang membela pembayaran tersebut mencatat bahwa hadiah $250.000 merupakan tingkat tertinggi dalam program XRPL, celah itu dilaporkan secara bertanggung jawab, perbaikannya diterapkan sebelum pengungkapan publik, dan tidak ada kerugian yang terjadi. Veria menyebutkan bahwa XRPL telah membayar lebih dari $1 juta dalam bentuk hadiah bug serta menjalani lebih dari selusin audit dan kompetisi audit sejak 2024. Hingga artikel The Crypto Times diterbitkan, baik XRP Ledger Foundation maupun Ripple belum menanggapi kritik tersebut secara terbuka.

Perdebatan berpusat pada apakah hadiah yang dibatasi mencerminkan skala risiko terhadap aset bernilai puluhan miliar dolar. Liao mengatakan pembayaran tersebut merupakan yang terbesar sejauh ini untuk kerentanan yang ditemukan sepenuhnya oleh agen AI.

Sumber

TokenPost: XRP Ledger Membayar Hadiah $250.000 untuk Kerentanan Pasokan Tak Terbatas

Cryptopolitan: ZachXBT kembali mengkritik Ripple yang "pelit" terkait hadiah $250 ribu

The Crypto Times: ZachXBT Kecam Hadiah $250 Ribu untuk Bug XRP Ledger