Блокчейн-исследователь ZachXBT раскритиковал Ripple и Ripple Ledger Foundation за вознаграждение в $250 000, выплаченное за баг, который мог позволить злоумышленнику выпустить 18 трлн XRP в одной транзакции. Уязвимость обнаружили Cayden Liao и Veria Labs, которые и получили выплату. Публичная критика ZachXBT сосредоточена на размере вознаграждения относительно серьёзности уязвимости.
Эксплойт на 18 трлн XRP, которого не случилось
В центре спора — число, которое трудно осознать: 18 трлн XRP. Это в 184 раза больше изначально установленного лимита предложения XRP Ledger, который был рассчитан максимум на 100 млрд токенов. Если бы баг был использован, кто-то мог бы выпустить такое количество XRP, что существующее предложение показалось бы мелочью. Фиксированное предложение XRP Ledger — ключевая часть его привлекательности; нарушение этого инварианта стало бы катастрофой для экономики и репутации сети.
Согласно фактам, уязвимость существовала в XRP Ledger и была сообщена через программу bug bounty Ripple Ledger Foundation. Фонд выплатил $250 000 Cayden Liao и Veria Labs за находку. Ripple, компания, тесно связанная с XRP Ledger, публично не комментировала критику.
Почему $250 тыс. вызывают вопросы
Аргумент ZachXBT по сути в том, что баг такого масштаба заслуживал гораздо большего вознаграждения. Уязвимость, способная создать 18 трлн XRP из воздуха, — не рядовая находка. Награда, хотя и немаленькая, выглядит скромно на фоне потенциального ущерба. Для контекста: общее предложение XRP Ledger составляет 100 млрд токенов. Баг позволил бы выпустить сумму в 184 раза больше. Это не погрешность округления; это экзистенциальная угроза для лимита предложения реестра.
Ripple Ledger Foundation, проводивший выплату, не объяснил, как была определена сумма в $250 000. Программы bug bounty обычно масштабируют вознаграждения в зависимости от серьёзности уязвимости и ценности под угрозой. Здесь ценность под угрозой была фактически бесконечной с точки зрения реестра — нельзя оценить в деньгах нарушение лимита предложения. Критики вроде ZachXBT по сути спрашивают, не занизил ли фонд вознаграждение исследователям, предотвратившим катастрофу.
Кто такие Cayden Liao и Veria Labs?
Факты не дают много деталей о Cayden Liao или Veria Labs, кроме их роли получателей вознаграждения. Именно они нашли баг и сообщили о нём, а значит, благодаря им эксплойт на 18 трлн XRP остался теоретическим. Являются ли они независимыми исследователями безопасности, командой или частью более крупной фирмы, из доступной информации неясно. Ясно то, что их открытие поставило их в центр дебатов о том, сколько стоит такая работа.
Veria Labs как именованная организация публично не высказывалась о размере вознаграждения. Liao, судя по фактам, тоже. $250 000 выплатил Ripple Ledger Foundation, а не компания Ripple, хотя в публичном обсуждении их часто путают.
Роль Ripple Ledger Foundation — и его молчание
Ripple Ledger Foundation — это структура, выплатившая $250 000. Она же управляет программой bug bounty, в рамках которой была выявлена уязвимость. Пока нет публичных объяснений фонда о размере вознаграждения. Это молчание подпитывает критику: без чёткого обоснования сумма в $250 000 выглядит произвольной, особенно когда потенциальное воздействие бага измеряется триллионами.
Компания Ripple — отдельная структура, но в общественном сознании она неразрывно связана с XRP Ledger. Решения фонда отражаются на всей экосистеме. Если исследователи чувствуют, что им недоплачивают за критически важные находки, гласит аргумент, они могут дважды подумать, прежде чем сообщать о будущих багах — или продать их тому, кто больше заплатит на чёрном рынке. Именно на этот страх и указывает ZachXBT.
Что дальше в дебатах о вознаграждениях
Ripple Ledger Foundation не сигнализировал, будет ли пересматривать вознаграждение или корректировать структуру выплат. Cayden Liao и Veria Labs получили $250 000, но разговор о том, достаточно ли это, далеко не окончен. Пока же баг на 18 трлн XRP остаётся напоминанием о том, насколько тонка грань между защищённым реестром и сломанным — и сколько эта грань стоит.
