O investigador de blockchain ZachXBT (@zachxbt) criticou a Ripple (@Ripple) por pagar US$ 250.000 a um pesquisador que descobriu uma vulnerabilidade crítica no XRP Ledger. O bug poderia ter permitido que um invasor criasse 18 trilhões de XRP em uma única transação — um valor cerca de 184 vezes maior que o fornecimento fixo de 100 bilhões de tokens.
O cofundador da Veria Labs, Cayden Liao (@Cayden_Liao), recebeu a recompensa máxima disponível no âmbito do programa de recompensas por bugs.
O que a falha no XRP Ledger poderia ter causado
A falha era um estouro de inteiro no mecanismo de pagamentos, existente desde 2015. Segundo o Cryptopolitan, o código afetado liquida negociações usando o livro de ofertas integrado à rede. Um invasor poderia ter criado centenas de contas falsas, cada uma oferecendo uma pequena quantidade de um token em troca de uma grande quantidade de XRP. A combinação dessas negociações em um único pagamento poderia ter feito os cálculos do sistema interpretarem um número enorme como se fosse minúsculo.
O número de 18 trilhões vem de um teste, não de perdas reais. Segundo a TokenPost, o número de 18,45 trilhões de XRP foi resultado de uma demonstração controlada de exploração, e não de tokens que comprovadamente entraram em circulação. A XRP Ledger Foundation afirmou que a oferta original de XRP permaneceu intacta, exceto pelas taxas de transação destruídas, e que seu monitoramento não detectou nenhuma emissão não autorizada.
Quanto à cronologia, a Veria Labs relatou a vulnerabilidade em 22 de setembro, após descobri-la em 21 de setembro, e uma atualização de emergência foi lançada em 25 de setembro, quando mais de 80% dos validadores da UNL padrão estavam executando o software corrigido ou uma versão mais recente. As mudanças no XRP Ledger normalmente passam por um processo de votação de duas semanas entre os validadores, mas a RippleX entregou a correção diretamente aos validadores em 25 de setembro.
Por que ZachXBT diz que o pagamento foi baixo demais
ZachXBT criticou o pagamento em uma publicação de 12 de outubro, questionando por que a Ripple pagou apenas US$ 250 mil ao hacker ético, apesar de seu tesouro ter bilhões. Ele escreveu que a descoberta deveria render, no mínimo, um pagamento de sete dígitos. Também alertou que recompensas baixas poderiam tentar a próxima pessoa que encontrasse uma falha semelhante a explorá-la em vez de divulgá-la.
Ele citou outras recompensas como referência. ZachXBT apontou o prêmio de US$ 1,5 milhão da Zcash a Taylor Hornby como uma referência mais justa, enquanto um hacker do Ethereum recebeu uma recompensa de US$ 2 milhões em 2022 por divulgar uma potencial exploração que poderia criar uma oferta ilimitada de ETH.
Quem defende o pagamento observa que a recompensa de US$ 250 mil era o nível máximo do programa da XRPL, que a falha foi divulgada de forma responsável, que a correção foi implementada antes da divulgação pública e que não houve perdas. A Veria observou que a XRPL pagou mais de US$ 1 milhão em recompensas por bugs e passou por mais de uma dúzia de auditorias e competições de auditoria desde 2024. Até a publicação do artigo do The Crypto Times, nem a XRP Ledger Foundation nem a Ripple haviam respondido publicamente às críticas.
O debate gira em torno de se uma recompensa limitada reflete a dimensão do risco para um ativo avaliado em dezenas de bilhões de dólares. Liao afirmou que o pagamento foi o maior já feito por uma vulnerabilidade encontrada inteiramente por um agente de IA.
Fontes
TokenPost: XRP Ledger paga recompensa de US$ 250 mil por vulnerabilidade que permitia oferta infinita
Cryptopolitan: ZachXBT retoma críticas à Ripple por ser "mesquinha" após recompensa de US$ 250 mil
The Crypto Times: ZachXBT critica recompensa de US$ 250 mil por bug no XRP Ledger