La comunidad cripto arremete contra XRP Ledger por recompensa insuficiente
Patricia López · Criptomonedas ·
ZachXBT cuestiona hoy los $250.000 pagados por un fallo que permitía crear 18 billones de XRP, 184 veces el suministro total. La Fundación defiende el monto máximo de su programa.
La XRP Ledger Foundation enfrenta críticas abiertas hoy tras revelar que pagó $250.000 por el hallazgo de una vulnerabilidad que habría permitido crear 18 billones de XRP, una cifra que supera en 184 veces el suministro fijo de 100 mil millones de tokens. El analista on-chain ZachXBT lideró la arremetida, argumentando que la recompensa es insuficiente cuando la organización tiene «billones» en tesorería y advirtiendo que pagos bajos podrían empujar a futuros descubridores a explotar fallos en lugar de reportarlos.
El fallo fue identificado por Cayden Liao y su equipo en Veria Labs, que reportaron la vulnerabilidad el 22 de septiembre a través del programa de <abbr title="Recompensas por encontrar fallos de seguridad en sistemas informáticos">bug bounties</abbr> de XRPL. El parche se lanzó tres días después en la versión 3.4.1, y más del 80% de los validadores actualizaron su software ese mismo 25 de septiembre. La divulgación coordinada al público ocurrió el 9 de octubre, pero el debate sobre la recompensa estalló hoy.
Un overflow de una década que nadie vio
El bug databa de 2015 y residía en el motor de pagos de XRP Ledger: un overflow de 64 bits que, al combinar montos que excedían el límite entero máximo, hacía que el cálculo se revirtiera a un número mucho menor. Las cuentas receptoras recibían sus pagos completos de XRP, pero la cuenta pagadora era cobrada casi nada. El exploit requería combinar dos fallos previamente considerados de bajo riesgo individual.
Fue un agente de IA de Veria Labs el que identificó las vulnerabilidades y diseñó el exploit con 256 cuentas. Según los desarrolladores, no se encontró evidencia de que atacantes hayan explotado el fallo en redes públicas antes del parche. XRP cotiza hoy en $1,3859.
«Podrían haber pedido el rescate de su vida»
ZachXBT, investigador blockchain pseudónimo conocido por rastrear hacks y estafas cripto, publicó su crítica este 12 de octubre. Su argumento: un pago de $250.000 es irrisorio para un bug de esta escala cuando la Fundación dispone de recursos de miles de millones. «Recompensas bajas podrían empujar a un futuro atacante a explotar una falla similar en lugar de reportarla», advirtió.
La Fundación respondió que los $250.000 representan «la recompensa máxima» de su programa de bug bounty, descrita como un hallazgo «inusualmente significativo». Hasta la fecha, más de $1 millón ha sido distribuido a investigadores de seguridad a través de las iniciativas de bounty de XRPL, según el comunicado oficial.
- Críticos: ZachXBT encabeza el argumento de que $250.000 es insuficiente dado el riesgo sistémico y los recursos disponibles de la Fundación.
- Defensores: Bill Morgan, abogado pro-Ripple, argumenta que la situación es un problema de seguridad versus divulgación, no de descentralización. «Si miembros informados de una comunidad descentralizada no pueden coordinarse privadamente para fijar una vulnerabilidad peligrosa, entonces la definición de descentralización usada es impráctica».
- Posición oficial: J. Ayo Akinyele, ejecutivo de RippleX, publicó el 10 de octubre que «esta fue una vulnerabilidad seria, y no lo tomamos a la ligera». La Fundación prometió verificación formal más fuerte, pruebas adversarias de IA y un programa de bug-bounty mejorado.
Procedimiento de emergencia sin voto público
Los desarrolladores de XRPL no siguieron el proceso habitual de enmienda, que requiere un voto de dos semanas entre validadores con más del 80% de respaldo. En su lugar, aplicaron un procedimiento de emergencia que les permitió manejar la amenaza sin revelar detalles técnicos al público durante semanas. Los validadores formalizaron el cambio después con el voto de enmienda estándar.
Los desarrolladores argumentaron que el workflow de enmienda usual habría hecho la vulnerabilidad «efectivamente pública durante semanas» antes de que el fix tomara efecto, dando a posibles atacantes tiempo para adaptarse. La decisión ha provocado debate sobre cuán descentralizado es realmente XRPL cuando un pequeño grupo puede imponer cambios críticos sin consulta previa a la comunidad completa de validadores.
Como ya publicamos, XRP Ledger activó recientemente la enmienda Batch el 29 de septiembre con 30 de 35 validadores respaldando. Ese proceso siguió el voto estándar de dos semanas, en contraste con la vía de emergencia empleada para el bug de overflow.
La tensión entre rapidez y transparencia
El caso resalta una tensión inherente en blockchains con gobernanza off-chain: la necesidad de actuar rápido ante amenazas críticas choca con los principios de transparencia y descentralización. Ripple y XRP han enfrentado anteriormente críticas sobre centralización, especialmente en torno al control de validadores. A diferencia de stablecoins como USDC o USDT, que permiten congelar fondos robados, XRP como activo nativo de su blockchain no incorpora función de veto, lo que limita la capacidad de respuesta ante exploits consumados.
| Aspecto | XRP Ledger (este caso) | Proceso normal XRPL |
|---|---|---|
| Reporte inicial | 22 septiembre 2026 | — |
| Parche lanzado | 25 septiembre (3 días) | Tras voto de 14 días |
| Validadores actualizados | >80% el mismo día | >80% tras dos semanas |
| Divulgación pública | 9 octubre (17 días después) | Simultánea al voto |
| Recompensa | $250.000 (máximo del programa) | Variable según severidad |
La Fundación acreditó a los investigadores Cayden Liao y Veria AI por la divulgación responsable, junto a desarrolladores centrales y operadores de nodos que se actualizaron rápidamente. En su comunicado, prometió que los esfuerzos futuros incluirán verificación formal más fuerte y pruebas adversarias con IA, además de revisar la estructura de recompensas del programa de bug bounty. Si el backlash de hoy presionará un aumento en los topes de pago, la Fundación aún no lo ha dicho.