$XRP ZachXBT、XRPLのバグ報奨金は低すぎると批判。供給上限を突破しかねない脆弱性に対してわずか25万ドル

また注目すべきセキュリティをめぐる騒動が起きました。ZachXBTがXRP Ledger Foundationのバグ報奨金プログラムを批判しました。今回は、彼の言い分にも一理あると思います。

何が起きたのか：

XRPL Foundationは最近、XRPの総供給量の上限を理論上回避できる、重大なセキュリティ脆弱性があったことを認めました。つまり、この脆弱性を悪用すれば、誰でも無限にXRPを生成できる可能性がありました。同財団によると、不正なXRPの生成は確認されておらず、この脆弱性はバージョン3.4.1で修正されたとのことです。

問題は、XRPLが数十億ドル相当の資産を扱っているにもかかわらず、この欠陥を発見した「ホワイトハット」ハッカーに支払われた報奨金が、わずか25万ドルだったことです。

ZachXBTは率直にこう指摘しました。報奨金があまりに低ければ、セキュリティ研究者が責任ある形で脆弱性を報告する意欲を失う可能性がある。さらに悪いことに、問題を公表するのではなく、脆弱性を悪用して巨額の利益を得ようとする攻撃者を誘いかねない、と。

これは典型的なジレンマです。10億ドル規模のネットワークを運営しているなら、システム全体を破壊しかねない脆弱性の発見に数百万ドルを支払うことは、実際には割安です。25万ドルの支払いは、真のインセンティブというより、単なる「ありがとう」の意思表示にすぎません。

リスクや必要な労力に対して報奨金が低すぎると、優秀な人材を正規の報告ルートから遠ざけてしまいます。そうなれば、より大きな代償を払うことになるのは悪意ある者たちです。

セキュリティを軽視してはいけません。脆弱性がひそかに悪用されれば、ネットワーク全体への信頼が崩壊するおそれがあります。その場合、節約できた25万ドルなど何の意味もありません。

どう思いますか？ 25万ドルは低すぎるでしょうか。それとも、重大な脆弱性に対する報奨金として妥当な金額でしょうか？

ニュースは参考情報であり、投資助言ではありません。判断を下す前によくお読みください。