ZachXBT раскритиковал Ripple за выплату $250 тыс. за баг и потерю 18 Т XRP

ZachXBT критикует «скудное» вознаграждение в 250 тыс. долларов за уязвимость, связанную с бесконечным предложением $XRP

Безопасность блокчейна и размер вознаграждений за обнаружение критических ошибок становятся предметом публичных дебатов, в центре которых находится Фонд $XRP Ledger.

ZachXBT, известный и вызывающий споры исследователь блокчейна, недавно объявивший о том, что ему удалось проникнуть в китайскую группировку, занимающуюся отмыванием криптовалют, раскритиковал то, как Ripple и Фонд $XRP Ledger отнеслись к исследователям-«белым хакерам», которые раскрыли критическую уязвимость, которая в случае ее использования могла бы привести к катастрофе для рыночной капитализации $XRP.

Эта уязвимость, присутствовавшая в кодовой базе $XRP более десяти лет, позволила бы злоумышленнику одним транзакцией создать из воздуха 18 триллионов $XRP — в 184 раза больше фиксированного общего предложения валюты (100 миллиардов токенов). Об ошибке было сообщено и она была подтверждена 22 сентября; исправление было запрограммировано и выпущено 25 сентября, до того как более 80% валидаторов обновились до новой версии, что сделало уязвимость бесполезной.

В качестве вознаграждения за работу над этой уязвимостью Кайдел Ляо, соучредитель Veria Labs, получил 250 тысяч долларов — максимальную сумму, предусмотренную программой вознаграждений за обнаружение уязвимостей команды Ripple. В социальных сетях Ляо заявил, что, по его мнению, это самая крупная сумма, когда-либо выплаченная за уязвимость, полностью обнаруженную ИИ-агентом.

Тем не менее, ЗакXBT заявил, что эта сумма является недостаточной с учётом серьезности и потенциальных последствий обнаруженной уязвимости.

«Дешево платить «белой шапке» 250 тысяч долларов за критическую уязвимость, позволяющую бесконечно увеличивать предложение $XRP, когда у вас в казне миллиарды? Спасибо, что помогли обеспечить, что в следующий раз злоумышленник воспользуется ею, чтобы похитить девятизначную сумму, вместо того чтобы добросовестно сообщить об этом», — прокомментировал ZachXBT, подчеркнув, что это способствует формированию негативного отношения к Ripple как к серьезной организации.

Vet, участник $XRP Ledger Foundation, согласился с точкой зрения ZachXBT, отметив, что они укрепляют программу вознаграждений за обнаружение ошибок. Он также сообщил, что фонд заключил коммерческие соглашения с «охотниками за ошибками» помимо рамок программы вознаграждений.

«Мы должны убедиться, что система поощрений остаётся привлекательной с учётом риска потерь. В конечном итоге мы хотим поддерживать «белых хакеров» — это гораздо лучше, чем иметь дело с Lazarus», — заключил он, однако не раскрыл информацию о дополнительных вознаграждениях в данном конкретном случае.

В августе ZachXBT отказался оказывать помощь в отслеживании средств жертвам уязвимости ColdCard, объяснив, что уделяет своё время экосистемам, которые ценят его работу.