Ce célèbre enquêteur spécialisé dans la blockchain a critiqué la récompense accordée par la Ripple Ledger Foundation à Cayden Liao et Veria Labs à la suite de la découverte d’un bug qui, s’il avait été exploité, aurait permis à quelqu’un d’émettre 18 000 milliards de XRP en une seule transaction, soit 184 fois l’offre maximale initiale.
ZachXBT tacle la prime de 250 000 $ de Ripple pour un bug 18 T XRP
ÉCRIT PAR
PARTAGER
Points clés
- ZachXBT a vivement critiqué la récompense de 250 000 dollars offerte pour la découverte d’un bug critique du XRP qui aurait pu permettre la création de 18 000 milliards de nouveaux tokens.
- Une faille détectée par l’IA et menaçant le plafond d’approvisionnement du XRP a été rapidement corrigée avant que les jetons ne puissent être exploités.
- ZachXBT a averti que des récompenses trop faibles incitaient aux piratages, ce qui a poussé la Fondation XRP à revoir le montant de ses primes.
ZachXBT critique la récompense « dérisoire » de 250 000 dollars offerte pour un bug lié à l’offre illimitée de XRP
La sécurité des blockchains et la valeur des primes pour la découverte de failles critiques font l’objet d’un débat public, avec la Fondation XRP Ledger au cœur de la polémique.
ZachXBT, le célèbre et controversé détective de la blockchain qui a récemment annoncé avoir infiltré un groupe chinois de blanchiment d’argent via les cryptomonnaies, a critiqué la manière dont Ripple et la Fondation XRP Ledger ont traité les chercheurs « white hat » qui ont révélé une faille critique qui, si elle avait été exploitée, aurait pu provoquer un désastre pour la capitalisation boursière du XRP.
Ce bug, présent dans le code source du XRP depuis plus d’une décennie, aurait permis à un attaquant d’émettre 18 000 milliards de XRP à partir de rien en une seule transaction, soit 184 fois l’offre totale fixe de la cryptomonnaie (100 milliards de jetons). Le bug a été signalé et confirmé le 22 septembre ; un correctif a été codé et publié le 25 septembre, avant que plus de 80 % des validateurs n’aient effectué la mise à jour vers la nouvelle version, rendant ainsi l’exploit inutilisable.
En récompense de son travail sur ce bug, Caydel Liao, cofondateur de Veria Labs, s’est vu attribuer 250 000 dollars, soit le montant maximal offert par le programme de prime aux bugs de l’équipe Ripple. Sur les réseaux sociaux, M. Liao a déclaré qu’il pensait qu’il s’agissait de la plus importante récompense jamais versée pour une vulnérabilité découverte entièrement par un agent d’IA.
Néanmoins, ZachXBT a déclaré que ce montant était insuffisant compte tenu de la gravité et de l’impact potentiel du bug signalé.
« Verser une maigre récompense de 250 000 dollars à un white hat pour un bug critique entraînant une offre infinie de XRP alors que votre trésorerie s’élève à des milliards ? Merci de contribuer à ce que, la prochaine fois, un attaquant l’exploite pour un montant à neuf chiffres au lieu de le signaler de bonne foi », a estimé ZachXBT, soulignant que cela contribuait à alimenter une perception négative de Ripple en tant qu’organisation sérieuse.
Vet, un contributeur de la XRP Ledger Foundation, s’est rangé à l’avis de ZachXBT, soulignant que la fondation renforçait son programme de prime aux bogues. Il a également révélé que la fondation avait conclu des accords commerciaux avec des chasseurs de bogues en dehors du cadre du programme de prime.
« Nous devons veiller à ce que la structure d’incitation reste attractive compte tenu de la valeur en jeu. Au final, nous voulons soutenir les “white hats”, c’est bien mieux que d’avoir affaire à Lazarus », a-t-il conclu, sans toutefois dévoiler de récompenses supplémentaires dans ce cas précis.
En août, ZachXBT avait refusé d’apporter son aide aux victimes de l’exploit ColdCard, expliquant qu’il consacrait son temps aux écosystèmes qui valorisaient son travail.
ZachXBT révèle que le Canada est le pire pays pour les victimes de crimes liés aux cryptomonnaies, devançant des pays comme le Royaume-Uni et l'Inde.
Lire: ZachXBT révèle que le Canada est le pire foyer mondial de fraude liée aux cryptomonnaies
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
