Blockchainonderzoeker ZachXBT heeft kritiek geuit op de beloning van $250.000 die werd betaald aan de onderzoekers die een kritieke kwetsbaarheid in de XRP Ledger ontdekten. Hij stelt dat de uitkering onevenredig klein was in verhouding tot de mogelijke schade die de fout had kunnen veroorzaken.

In een bericht op X van 12 oktober vroeg ZachXBT zich af waarom een onderzoeker die op verantwoorde wijze een kwetsbaarheid meldde die XRP buiten de beoogde voorraad kon creëren, slechts een kwart miljoen dollar ontving.

"Cheaply paying the whitehat $250K for a critical infinite XRP supply bug when your treasury has billions?" schreef hij.

Hij waarschuwde dat ontoereikende compensatie toekomstige onthullingen kan ontmoedigen en kwaadwillenden er mogelijk toe kan aanzetten om kwetsbaarheden uit te buiten in plaats van te melden. ZachXBT stelde eveneens vragen bij de geloofwaardigheid van Ripple en het bredere XRP Ledger-ecosysteem wat betreft hun aanpak van beveiligingsprikkels. De hoogte van beloningen is een terugkerend discussiepunt binnen softwarebeveiliging, waarbij bounty-maxima doorgaans vooraf door de sponsorende organisatie worden vastgesteld, terwijl de potentiële kosten van een ongepatchte fout veel groter kunnen zijn.

$250K was de maximaal beschikbare beloning

De kritiek volgde op een reactie van de XRP Ledger Foundation over de kwetsbaarheid en de noodmaatregelen die waren genomen.

Beveiligingsonderzoekers Cayden Liao en Veria AI ontdekten de fout op 21 september en dienden deze de volgende dag in via het XRPL Bug Bounty-programma. Veria Labs bevestigde op 8 oktober dat het $250.000 had ontvangen, het maximale bedrag dat onder het programma beschikbaar was, en verklaarde dat een AI-beveiligingsagent de kwetsbaarheid had geïdentificeerd en een werkende proof of concept had gegenereerd. Bug bounty-programma's van dit soort zijn een standaard sectormechanisme voor het belonen van verantwoorde onthulling, met uitkeringslimieten die door de sponsor van het programma worden vastgesteld.

Het bedrijf schatte dat één kwaadwillende transactie ongeveer 18 biljoen XRP had kunnen creëren — meer dan 180 keer de oorspronkelijke voorraad van 100 miljard van de cryptocurrency. Veria Labs omschreef de betaling eveneens als de grootste bounty die het kende voor een kwetsbaarheid die volledig door een AI-agent was ontdekt.

De kritiek van ZachXBT richt zich op de kloof tussen het maximale beloningsbedrag en de mogelijke economische gevolgen van een aanval. Zijn waarschuwing betreft de prikkels waarmee toekomstige onderzoekers worden geconfronteerd, en geen enkele beschuldiging dat het team achter deze onthulling ongepast heeft gehandeld.

XRP Ledger-bug bestond al sinds 2015

De omstreden uitkering heeft betrekking op een kritieke kwetsbaarheid in de betalingsengine die meer dan tien jaar onopgemerkt was gebleven. De fout hield een integer overflow in — een categorie bugs die optreedt wanneer een berekening de maximale waarde overschrijdt die een numeriek veld kan opslaan — die kon worden geactiveerd wanneer een speciaal geconstrueerde betaling honderden offers van de gedecentraliseerde beurs van de XRP Ledger verbruikte.

Een aanvaller kon de berekening zo manipuleren dat de eigenaren van offers hun volledige XRP-bedragen ontvingen, terwijl de betalende rekening slechts met een kleine fractie van het totaal werd belast. Een bestaande beveiliging die was ontworpen om ongeautoriseerde XRP-creatie te voorkomen, leed aan hetzelfde overflowprobleem.

De officiële kwetsbaarheidsonthulling bevestigde dat ingenieurs van RippleX de exploit in een afzonderlijke testomgeving hebben gereproduceerd en hebben geverifieerd dat de nieuw gecreëerde XRP vervolgens kon worden uitgegeven. Er werden geen aanwijzingen gevonden voor uitbuiting op een publiek XRP Ledger-netwerk.

Noodpatch binnen drie dagen uitgerold

RippleX bracht de corrigerende update uit in xrpld versie 3.4.1 op 25 september, drie dagen na ontvangst van de melding. De noodrespons omzeilde het gebruikelijke amendementstemmingsproces — waarbij validators doorgaans stemmen over protocolwijzigingen — omdat ontwikkelaars vonden dat het openlaten van de kwetsbaarheid aanzienlijk gevaarlijker was dan het direct uitrollen van een consensusgevoelige fix.

Meer dan 80% van de validators op de standaard Unique Node List had tegen de releasedatum geüpgradeerd, waardoor het netwerk werd beschermd tegen kwetsbaarheid voor voorraadcreatie.

De onderzoekers ontvingen hun beloning bijna twee weken later, en de volledige technische onthulling werd op 9 oktober openbaar. Die volgorde — privérapport, noodpatch, betaling en vervolgens volledige openbare onthulling — volgt het model van gecoördineerde kwetsbaarheidsonthulling dat veel wordt gebruikt in softwarebeveiliging en dat netwerkbeheerders de tijd geeft om te upgraden voordat exploitdetails worden gepubliceerd. De betaling van $250.000 blijft de bevestigde maximale bounty die onder het programma voor deze ontdekking is toegekend.