Penyelidik kripto ZachXBT menilai XRP Ledger Foundation (XRPL) berpotensi merugi hingga lebih dari US$100 juta pada peretasan berikutnya, setelah perusahaan itu hanya membayar US$250.000 kepada hacker whitehat yang menemukan dan melaporkan bug pasokan XRP tak terbatas. Penilaian tersebut disampaikan ZachXBT menyusul laporan XRPL pekan lalu yang mengungkap adanya celah yang memungkinkan penciptaan token XRP baru dari udara.
ZachXBT Soroti Bounty XRPL yang Dinilai Terlalu Murah
ZachXBT menilai XRPL membayar hacker tersebut secara “murah”, dengan mencatat bahwa perusahaan kripto itu memiliki dana “miliaran” di kasnya. Menurutnya, imbalan yang dinilai kikir itu dapat mendorong pelaku kejahatan siber di masa depan untuk memilih mengeksploitasi kerentanan besar serupa alih-alih melaporkannya dengan iktikad baik.
Ia menyebut konsekuensi dari pilihan tersebut dapat membuat XRPL menanggung kerugian hingga “sembilan digit”. “Inilah alasan orang tidak menganggap XRPL atau Ripple serius sebagai sebuah organisasi,” tambahnya.
Sebagai pembanding, pada 2022 seorang hacker Ethereum yang sebenarnya bisa mencetak pasokan ETH tak terbatas dibayar US$2 juta sebagai bug bounty karena mengungkap potensi eksploitasi tersebut.
Bagaimana Bug Pasokan XRP Tak Terbatas Ditemukan
XRPL merilis laporan pekan lalu yang mengungkap cacat yang memungkinkan penciptaan token XRP baru tanpa dasar. Eksploitasi ini ditemukan oleh hacker whitehat Cayden Liao dan Veria AI, lalu diserahkan ke program bug bounty XRPL pada 22 September.
Keduanya menemukan bahwa “integer overflow di mesin pembayaran” dapat dimanipulasi melalui berbagai order XRP untuk membayar dana dengan jumlah yang lebih kecil dari seharusnya. XRPL menyatakan, “Mesin itu membayar setiap pemilik tawaran sebesar jumlah penuh mereka secara individual, tetapi hanya menagih pembeli sebesar total yang telah berputar. Selisihnya adalah XRP baru yang seharusnya tidak pernah ada.”
XRPL menyerahkan perbaikan pada 25 September dan menyatakan “tidak ada bukti bahwa masalah ini dieksploitasi di jaringan publik mana pun”. Mereka menambahkan bahwa bug tersebut sudah ada sejak 2015. Saat ini terdapat 100 miliar XRP yang beredar sejak peluncuran XRP pada 2012, dengan kapitalisasi pasar kini mencapai US$86,5 miliar. XRP sendiri dirancang untuk mencegah terciptanya XRP tambahan.
Kritik Serupa pada Bounty Tether dan Circle
Firma manajemen risiko DeFi, Llamarisk, sebelumnya mengkritik bug bounty yang ditawarkan Tether dan Circle pada 2025 karena nilainya tidak melebihi US$10.000. Mereka menilai angka tersebut “tidak memadai” dan menyatakan minimal US$50.000 dibutuhkan untuk menarik peneliti keamanan yang mumpuni.
LlamaRisk menyatakan, “Untuk protokol dengan total value locked (TVL) di atas US$250 juta, pembayaran maksimum yang melebihi US$1 juta mencerminkan program yang bermodal cukup.” Adapun TVL XRP saat ini tercatat US$41,8 juta.
Kritik terhadap besaran imbalan ini menyoroti persoalan insentif dalam pengungkapan kerentanan di industri kripto. Jika peneliti keamanan menilai bounty terlalu kecil dibandingkan potensi keuntungan dari mengeksploitasi celah, laporan yang bertanggung jawab berisiko tergantikan oleh serangan yang merugikan, sebagaimana disorot ZachXBT terhadap kasus XRPL.
