XRP Ledger Foundation, ağda sınırsız XRP üretilmesine yol açabilecek kritik bir tam sayı taşması (integer overflow) açığını raporlayan beyaz şapkalı hacker'lara 250 bin dolar ödedi. Ünlü kripto dedektifi ZachXBT, vakfın milyarlarca dolarlık hazinesine kıyasla bu ödülü çok düşük bularak, benzer durumların gelecekte kötü niyetli istismarları teşvik edebileceğini savundu.
XRP Ledger Foundation (XRPL), ağda sınırsız token üretilmesine zemin hazırlayabilecek kritik bir güvenlik açığının kapatıldığını duyurmasının ardından, ödediği hata ödülü (bug bounty) miktarı nedeniyle sektörde sert eleştirilerin hedefi oldu. Beyaz şapkalı hacker'ların ortaya çıkardığı açık için yapılan 250.000 dolarlık ödeme, zincir içi araştırmacıların tepkisini çekti.
Açığın Teknik Detayları ve Acil Yama Süreci
Geçtiğimiz hafta yayınlanan XRPL raporuna göre, sistemdeki açık Cayden Liao ve Veria AI adlı beyaz şapkalı güvenlik araştırmacıları tarafından 22 Eylül tarihinde keşfedildi ve vakfın hata ödülü programına bildirildi. Yapılan incelemelerde, ödeme motorunda yer alan bir tam sayı taşması (integer overflow) hatasının, çeşitli XRP emirleriyle manipüle edilerek fonların eksik ödenmesine imkan tanıdığı tespit edildi.
Sistemin çalışma mekanizmasına dair açıklama yapan vakıf, ödeme motorunun her teklif sahibine tam tutarı ayrı ayrı ödediğini, ancak alıcıdan yalnızca kaydırmalı toplam tutarı tahsil ettiğini belirtti. Ortaya çıkan bu farkın, normal şartlarda asla var olmaması gereken yeni XRP token'larının yaratılmasına yol açabileceği anlaşıldı. Sektör kaynakları ve Cryptonews raporlarına göre, teorik olarak 18.45 trilyon XRP'ye kadar varlık yaratma riski barındıran bu açığın 2015 yılından bu yana sistemde mevcut olduğu ortaya çıktı.
Tehlikenin fark edilmesinin ardından hızlı bir aksiyon alan XRPL ekibi, 25 Eylül itibarıyla acil bir yama yayınlayarak açığı kapattı. Vakıf, bugüne kadar halka açık herhangi bir ağda bu açığın kötü niyetli kişilerce istismar edildiğine dair hiçbir kanıt bulunmadığını vurguladı. 2012 yılındaki lansmanından bu yana dolaşımda sabit 100 milyar XRP bulunuyor ve ağ mimarisi gereği yeni token basımına izin vermemesi gerekiyor.
ZachXBT'den Sert Eleştiri: Vakıf Bu Yaklaşımla Büyük Kayıplara Davetiye Çıkarıyor
Tanınmış zincir içi güvenlik araştırmacısı ZachXBT, XRPL'nin hata ödülü olarak yalnızca 250.000 dolar ödemesini kamuoyuna taşıyarak sert bir dille eleştirdi. Kripto firmasının hazinesinde milyarlarca dolar bulunduğunu hatırlatan araştırmacı, bu denli kritik bir açığın raporlanması karşısında ödülün fazlasıyla ucuz tutulduğunu ifade etti.
ZachXBT, bu tür yetersiz ödüllerin gelecekte siber suçluları ve hacker'ları açıkları iyi niyetle bildirmek yerine gizlice istismar etmeye yönlendirebileceği uyarısında bulundu. Benzer bir senaryonun geçmişte Ethereum ekosisteminde de yaşandığını hatırlatan araştırmacı, 2022 yılında sınırsız ETH basabilecek bir açığı bildiren bir hacker'a 2 milyon dolar ödül verildiğini örnek gösterdi. Bu kıyaslama üzerinden XRPL yönetiminin güvenlik politikalarını eleştiren ZachXBT, vakfın bu yaklaşımı yüzünden gelecekte dokuz haneli rakamlara varan kayıplarla karşılaşabileceğini öne sürdü.
Öte yandan, DeFi risk yönetimi firması LlamaRisk de 2025 yılı içerisinde Tether ve Circle gibi dev projelerin sunduğu hata ödüllerinin 10.000 doları aşmadığını belirterek bu rakamları yetersiz nitelendirmişti. Uzmanlar, yüz milyonlarca dolarlık kilitli varlığa sahip ekosistemlerin nitelikli güvenlik araştırmacılarını çekebilmesi için en az 1 milyon dolarlık üst ödeme limitlerine sahip programlar yürütmesi gerektiğini savunuyor. Mevcut durumda XRP ekosisteminin TVL'si yaklaşık 41,8 milyon dolar seviyesinde bulunuyor.
