El investigador de blockchain ZachXBT ha criticado la recompensa de $250,000 pagada a los investigadores que descubrieron una vulnerabilidad crítica en el XRP Ledger, argumentando que el pago fue desproporcionadamente pequeño en relación con el daño potencial que la falla podría haber causado.

En una publicación del 12 de octubre en X, ZachXBT cuestionó por qué un investigador que divulgó responsablemente una vulnerabilidad capaz de crear XRP más allá de su suministro previsto recibió solo un cuarto de millón de dólares.

"¿Pagar tan barato al whitehat $250K por un bug crítico de suministro infinito de XRP cuando tu tesorería tiene miles de millones?", escribió.

Advirtió que una compensación inadecuada podría desincentivar futuras divulgaciones y potencialmente empujar a actores maliciosos a explotar vulnerabilidades en lugar de reportarlas. ZachXBT también cuestionó la credibilidad de Ripple y del ecosistema del XRP Ledger en general respecto a su enfoque de incentivos de seguridad. El tamaño de las recompensas es un punto de debate recurrente en la seguridad de software, donde los límites de las recompensas suelen fijarse de antemano por la organización patrocinadora, mientras que el costo potencial de una falla sin parche puede ser mucho mayor.

$250K Era la Recompensa Máxima Disponible

La crítica siguió a una respuesta de la XRP Ledger Foundation que abordó la vulnerabilidad y su remediación de emergencia.

Los investigadores de seguridad Cayden Liao y Veria AI descubrieron la falla el 21 de septiembre y la enviaron al día siguiente a través del programa XRPL Bug Bounty. Veria Labs confirmó el 8 de octubre que había recibido $250,000, el máximo disponible bajo el programa, y señaló que un agente de seguridad de IA había identificado la vulnerabilidad y generado una prueba de concepto funcional. Los programas de bug bounty de este tipo son un mecanismo estándar de la industria para compensar la divulgación responsable, con límites de pago establecidos por el patrocinador del programa.

La empresa estimó que una sola transacción maliciosa podría haber creado aproximadamente 18 billones de XRP, más de 180 veces el suministro original de 100 mil millones de la criptomoneda. Veria Labs también describió el pago como la recompensa más grande que conociera por una vulnerabilidad descubierta completamente por un agente de IA.

La crítica de ZachXBT se centra en la brecha entre el límite de la recompensa y las posibles consecuencias económicas de un ataque. Su advertencia concierne a los incentivos que enfrentarán los futuros investigadores, no a ninguna acusación de que el equipo detrás de esta divulgación actuó de manera indebida.

El Bug del XRP Ledger Existía Desde 2015

El pago en disputa está relacionado con una vulnerabilidad crítica del motor de pagos que había permanecido sin detectar durante más de una década. La falla involucraba un desbordamiento de enteros, un tipo de bug que ocurre cuando un cálculo excede el valor máximo que un campo numérico puede almacenar, y podía activarse cuando un pago especialmente construido consumía cientos de ofertas del exchange descentralizado del XRP Ledger.

Un atacante podría manipular el cálculo para que los propietarios de las recibieran la totalidad de sus montos en XRP, mientras que a la cuenta pagadora solo se le cobraba una pequeña fracción del total. Una salvaguarda diseñada para prevenir la creación no autorizada de XRP sufría del mismo problema de desbordamiento.

La divulgación oficial de la vulnerabilidad confirmó que los ingenieros de RippleX reprodujeron el exploit en un entorno de pruebas aislado y verificaron que el XRP recién creado podía gastarse posteriormente. No se encontró evidencia de explotación en una red pública del XRP Ledger.

Parche de Emergencia Implementado en Tres Días

RippleX lanzó la actualización correctiva en la versión 3.4.1 de xrpld el 25 de septiembre, tres días después de recibir el reporte. La respuesta de emergencia eludió el proceso habitual de votación de enmiendas, mediante el cual los validadores suelen votar sobre cambios de protocolo, porque los desarrolladores consideraron que dejar la vulnerabilidad expuesta era sustancialmente más peligroso que implementar una corrección inmediata sensible al consenso.

Más del 80% de los validadores de la Unique Node List predeterminada se habían actualizado para la fecha del lanzamiento, protegiendo la red contra la vulnerabilidad de creación de suministro.

Los investigadores recibieron su recompensa casi dos semanas después, y la divulgación técnica completa se hizo pública el 9 de octubre. Esa secuencia, reporte privado, parche de emergencia, pago y luego divulgación pública completa, sigue el modelo de divulgación coordinada de vulnerabilidades ampliamente utilizado en la seguridad de software, que tiene como objetivo dar tiempo a los operadores de la red para actualizarse antes de que se publiquen los detalles del exploit. El pago de $250,000 sigue siendo la recompensa máxima confirmada otorgada bajo el programa por este descubrimiento.