De bekende blockchain-speurder had kritiek op de beloning die de Ripple Ledger Foundation aan Cayden Liao en Veria Labs had toegekend na de ontdekking van een bug die, indien misbruikt, iemand in staat zou hebben gesteld om in één enkele transactie 18 biljoen XRP uit te geven – 184 keer de oorspronkelijke maximale voorraad.
ZachXBT hekelt Ripple-beloning: 250.000 dollar voor bug in 18T XRP
GESCHREVEN DOOR
DELEN
Belangrijkste punten
- ZachXBT had felle kritiek op een beloning van 250.000 dollar voor een kritieke XRP-bug waarmee 18 biljoen nieuwe tokens hadden kunnen worden geslagen.
- Een door AI ontdekte fout die de maximale voorraad van XRP in gevaar bracht, werd snel verholpen voordat er misbruik van de tokens kon worden gemaakt.
- ZachXBT waarschuwde dat lage beloningen hacks in de hand werken, wat de XRP Foundation ertoe aanzette de hoogte van haar beloningen te heroverwegen.
ZachXBT bekritiseert ‘goedkope’ beloning van 250.000 dollar voor bug in oneindige voorraad XRP
Er wordt in het openbaar gedebatteerd over blockchainbeveiliging en de waarde van beloningen voor kritieke bugs, met de XRP Ledger Foundation in het middelpunt van de discussie.
ZachXBT, de beroemde en controversiële blockchain-speurneus die onlangs aankondigde dat hij was geïnfiltreerd in een Chinese crypto-witwasgroep, heeft kritiek geuit op de manier waarop Ripple en de XRP Ledger Foundation de white-hat-onderzoekers hebben behandeld die een kritieke bug aan het licht brachten die, indien misbruikt, een ramp had kunnen veroorzaken voor de marktkapitalisatie van XRP.
De bug, die al meer dan tien jaar in de codebase van XRP aanwezig was, zou een aanvaller in staat hebben gesteld om met één enkele transactie 18 biljoen XRP uit het niets te genereren – 184 keer de vaste totale voorraad van de munt (100 miljard tokens). De bug werd op 22 september gemeld en bevestigd; op 25 september werd een oplossing geprogrammeerd en uitgebracht, nog voordat meer dan 80% van de validators was overgestapt op de nieuwe versie, waardoor de exploit onbruikbaar werd.
Als beloning voor zijn werk aan deze bug ontving Caydel Liao, medeoprichter van Veria Labs, 250.000 dollar, het maximumbedrag dat wordt aangeboden door het bugbounty-programma van het Ripple-team. Op sociale media verklaarde Liao dat hij dacht dat dit het hoogste bedrag was dat ooit was uitbetaald voor een kwetsbaarheid die volledig door een AI-agent was ontdekt.
Niettemin verklaarde ZachXBT dat dit bedrag ontoereikend was gezien de ernst en de potentiële impact van de gemelde bug.
"De whitehat schamele 250.000 dollar betalen voor een kritieke bug die een oneindig XRP-aanbod veroorzaakt, terwijl je kas miljarden bevat? Bedankt dat je er zo voor zorgt dat een aanvaller er de volgende keer 9 cijfers mee kan verdienen in plaats van het te goeder trouw te melden", oordeelde ZachXBT, waarbij hij benadrukte dat dit bijdroeg aan het bevorderen van een negatief beeld van Ripple als serieuze organisatie.
Vet, een medewerker van de XRP Ledger Foundation, was het eens met het standpunt van ZachXBT en benadrukte dat ze het bugbounty-programma aan het versterken waren. Hij maakte ook bekend dat de stichting commerciële overeenkomsten had gesloten met bugbounty-jagers buiten het bugbounty-programma om.
"We moeten ervoor zorgen dat de beloningsstructuur aantrekkelijk blijft, gezien de waarde die op het spel staat. Uiteindelijk willen we white hats ondersteunen; dat is veel beter dan te maken te hebben met Lazarus," concludeerde hij, maar hij maakte geen details bekend over extra beloningen in dit specifieke geval.
In augustus weigerde ZachXBT ondersteuning te bieden bij het opsporen van slachtoffers van de ColdCard-exploit, waarbij hij uitlegde dat hij zijn tijd wilde besteden aan ecosystemen die zijn werk op waarde schatten.
ZachXBT onthult dat Canada de slechtste jurisdictie is voor slachtoffers van cryptocriminaliteit, en daarmee landen als het Verenigd Koninkrijk en India achter zich laat.
Lees nu: ZachXBT onthult dat Canada wereldwijd de grootste broeinest van cryptovalutafraude is
Dit artikel is met behulp van AI uit het Engels vertaald. De originele Engelstalige versie is de gezaghebbende bron; geautomatiseerde vertalingen kunnen onnauwkeurigheden bevatten, met name in juridische en regelgevende terminologie.
