ZachXBT kritisiert Ripples 250.000-Dollar-Prämie für 18-Tera-XRP-Fehler

ZachXBT kritisiert „mickrige“ Belohnung von 250.000 US-Dollar für XRP-Fehler, der unbegrenzte Versorgung ermöglicht hätte

Die Sicherheit von Blockchains und der Wert von Kopfgeldern für kritische Fehler werden derzeit öffentlich diskutiert, wobei die XRP Ledger Foundation im Mittelpunkt steht.

ZachXBT, der renommierte und umstrittene Blockchain-Detektiv, der kürzlich bekanntgab, eine chinesische Krypto-Geldwäschergruppe infiltriert zu haben, kritisierte, wie Ripple und die XRP Ledger Foundation die White-Hat-Forscher behandelten, die einen kritischen Fehler aufgedeckt hatten, der, wäre er ausgenutzt worden, eine Katastrophe für die Marktkapitalisierung von XRP hätte auslösen können.

Der Fehler, der seit über einem Jahrzehnt in der Codebasis von XRP vorhanden war, hätte es einem Angreifer ermöglicht, mit einer einzigen Transaktion 18 Billionen XRP aus dem Nichts zu generieren – das 184-Fache des festen Gesamtangebots der Währung (100 Milliarden Token). Der Fehler wurde am 22. September gemeldet und bestätigt; ein Patch wurde am 25. September programmiert und veröffentlicht, noch bevor über 80 % der Validatoren auf die neue Version aktualisiert hatten, wodurch der Exploit unwirksam wurde.

Als Belohnung für seine Arbeit an diesem Fehler erhielt Caydel Liao, Mitbegründer von Veria Labs, 250.000 US-Dollar – den Höchstbetrag, der im Rahmen des Bug-Bounty-Programms des Ripple-Teams angeboten wird. In den sozialen Medien erklärte Liao, dass dies seiner Meinung nach die höchste Prämie sei, die jemals für eine Schwachstelle gezahlt wurde, die vollständig von einem KI-Agenten entdeckt wurde.

Dennoch erklärte ZachXBT, dieser Betrag sei angesichts der Schwere und der potenziellen Auswirkungen des gemeldeten Fehlers unzureichend.

„Dem Whitehat nur 250.000 Dollar für einen kritischen Fehler zu zahlen, der eine unbegrenzte XRP-Versorgung ermöglicht, obwohl eure Kasse Milliarden enthält? Vielen Dank, dass ihr dazu beitragt, dass ein Angreifer diesen Fehler das nächste Mal für einen neunstelligen Betrag ausnutzt, anstatt ihn in gutem Glauben zu melden“, urteilte ZachXBT und betonte, dass dies dazu beitrage, negative Ansichten gegenüber Ripple als seriöses Unternehmen zu schüren.

Vet, ein Mitwirkender der XRP Ledger Foundation, schloss sich der Sichtweise von ZachXBT an und hob hervor, dass man das Bug-Bounty-Programm ausbaue. Er gab zudem bekannt, dass die Stiftung über das Bug-Bounty-Programm hinaus kommerzielle Vereinbarungen mit Bug-Bounty-Jägern getroffen habe.

„Wir müssen sicherstellen, dass die Anreizstruktur angesichts des Risikos attraktiv bleibt. Letztendlich wollen wir White-Hat-Hacker unterstützen – das ist viel besser, als sich mit Lazarus auseinanderzusetzen“, schloss er, ohne jedoch in diesem konkreten Fall zusätzliche Belohnungen offenzulegen.

Im August lehnte ZachXBT es ab, Opfern des ColdCard-Exploits Unterstützung bei der Rückverfolgung anzubieten, und erklärte, dass er seine Zeit vorrangig auf Ökosysteme konzentriere, die seine Arbeit wertschätzten.