Por Canuto  

ZachXBT considera insuficiente la recompensa de USD $250.000 entregada a investigadores que encontraron un fallo capaz de permitir la emisión de 18 billones de XRP. La vulnerabilidad fue corregida antes de que alguien pudiera aprovecharla, pero la polémica ahora gira en torno a los incentivos para revelar errores críticos.
***

  • El fallo podía permitir la emisión de 18 billones de XRP en una sola transacción, una cantidad equivalente a 180 veces el suministro original de 100.000 millones.
  • Cayden Liao, cofundador de Veria Labs, recibió USD $250.000, el máximo previsto por el programa de recompensas de Ripple, según la información citada en el artículo.
  • La vulnerabilidad se notificó el 22 de septiembre de 2026 y la corrección se publicó el 25, antes de que más del 80% de los validadores adoptara la nueva versión, según el reporte citado.

Un fallo en el código de XRP Ledger pudo haber permitido emitir 18 billones de XRP en una sola transacción, una cifra equivalente a 180 veces el suministro original de 100.000 millones de unidades. La vulnerabilidad se corrigió antes de que alguien la aprovechara, pero la recompensa entregada a quienes la encontraron abrió una discusión sobre cuánto vale una revelación responsable cuando está en juego un riesgo de esa magnitud.

Una vulnerabilidad con potencial para alterar el suministro

El investigador especializado en blockchain ZachXBT criticó que Ripple y la XRP Ledger Foundation entregaran USD $250.000 por el hallazgo, suma que correspondía al máximo contemplado en el programa de recompensas de Ripple, según la información citada en el artículo. A su juicio, el monto no guarda proporción con el alcance potencial del error, que permanecía en el código fuente de XRP desde hacía más de una década y podía comprometer uno de los parámetros centrales del activo: su suministro limitado.

La posibilidad descrita no equivale a una emisión que haya ocurrido, ni a una pérdida confirmada de fondos. Según el reporte citado, los investigadores notificaron el fallo el 22 de septiembre de 2026 y el equipo publicó una corrección el día 25. La actualización llegó antes de que más del 80% de los validadores adoptara la nueva versión. El informe oficial de divulgación de vulnerabilidades de XRP Ledger indica que dos errores se corrigieron en la versión xrpld 3.4.1.

El contraste entre la escala hipotética del problema y la recompensa fue el centro del reproche de ZachXBT. El investigador sostuvo que pagar una cantidad que calificó de exigua a un equipo de sombrero blanco, frente a un error capaz de permitir una emisión masiva de XRP, podría enviar una señal equivocada a otros investigadores y atacantes. También aludió a la tesorería de Ripple, que describió como valorada en miles de millones, para cuestionar si el pago reflejaba el riesgo asumido por la red.

En su crítica, ZachXBT planteó que una compensación insuficiente puede debilitar la motivación para informar fallos de buena fe y aumentar la posibilidad de que alguien intente explotarlos. Esa es una advertencia sobre incentivos, no una prueba de que otro actor hubiera descubierto la vulnerabilidad o estuviera preparando un ataque. La diferencia importa: el caso conocido se resolvió mediante una notificación y una actualización, mientras el debate se refiere a cómo reducir riesgos en futuros hallazgos.

La recompensa y el papel de la inteligencia artificial

Cayden Liao, cofundador de Veria Labs, recibió los USD $250.000 por el trabajo relacionado con la vulnerabilidad, según la información citada en el artículo. Liao afirmó en redes sociales que creía que se trataba de la mayor recompensa pagada por un fallo descubierto íntegramente por un agente de inteligencia artificial. Esa valoración corresponde a su apreciación; la información disponible no presenta una verificación independiente que permita establecer un récord de ese tipo.

La participación de herramientas de inteligencia artificial añade otra dimensión al caso, aunque no cambia el criterio principal para evaluar la respuesta: el hallazgo describía un riesgo crítico y el equipo responsable publicó una corrección antes de que se explotara. El papel que desempeñó la IA, según la afirmación de Liao, sitúa el incidente entre los ejemplos de automatización aplicada a la búsqueda de errores. Sin más detalles técnicos en la información disponible, no es posible precisar qué tareas realizó el agente ni cómo se repartió el trabajo entre este y los investigadores.

Los programas de recompensas buscan que investigadores externos comuniquen vulnerabilidades a los responsables de un sistema en vez de divulgarlas sin coordinación o intentar sacar provecho de ellas. Para que ese mecanismo funcione, el pago potencial y las reglas del programa deben resultar suficientemente atractivos frente al impacto del fallo, aunque cada organización define sus propios topes y procedimientos. La polémica en torno a XRP plantea si un máximo de USD $250.000 ofrece incentivos adecuados ante errores que podrían afectar componentes fundamentales de una red.

La cifra pagada también exige distinguir entre el valor de una recompensa y el daño que se evitó. El incidente no generó 18 billones de XRP nuevos, y no hay en la información citada una pérdida efectiva atribuida a esta vulnerabilidad; la suma entregada reconoce el hallazgo y la divulgación, no una compensación por tokens emitidos. Aun así, ZachXBT sostiene que la organización debería considerar la magnitud del riesgo hipotético al fijar la recompensa, precisamente para que informar siga siendo una opción atractiva.

La fundación promete revisar los incentivos

Vet, colaborador de la XRP Ledger Foundation, coincidió con la preocupación sobre el diseño de las recompensas y dijo que estaban reforzando el programa. También señaló que la fundación había llegado a acuerdos comerciales con cazadores de errores fuera del esquema público, aunque no reveló si Cayden Liao o Veria Labs recibieron pagos adicionales en este caso. Por tanto, los USD $250.000 son el monto divulgado, pero la información no permite confirmar o descartar otras compensaciones concretas.

Vet explicó que la estructura de incentivos debe seguir siendo atractiva en relación con el valor que está en riesgo y que la fundación quiere respaldar a quienes reportan vulnerabilidades de forma responsable. En su comentario contrastó ese objetivo con la posibilidad de tener que lidiar con Lazarus, grupo al que se refirió como ejemplo de una amenaza maliciosa. La declaración expresa una prioridad general de seguridad, pero no vincula a Lazarus con el fallo de XRP ni con un intento de explotación.

El intercambio deja dos asuntos distintos sobre la mesa: la rapidez con que el equipo corrigió el problema y la suficiencia del pago a quienes lo reportaron. La cronología descrita apunta a una notificación el 22 de septiembre de 2026 y a una corrección publicada el día 25, antes de que más del 80% de los validadores adoptara la nueva versión. ZachXBT considera que la compensación no estuvo a la altura del peligro potencial, mientras Vet reconoció la necesidad de revisar el esquema de incentivos.

Por ahora, la fundación indicó que fortalece su programa y que también recurre a acuerdos por fuera de sus recompensas públicas, pero no precisó cambios, nuevas tarifas ni pagos complementarios para este caso. La discusión ilustra el dilema de los programas de seguridad: deben reconocer el valor de un hallazgo excepcional sin convertir cada riesgo hipotético en una cifra automática, y a la vez mantener una vía de reporte confiable. El desenlace técnico evitó que el fallo se tradujera en una emisión de tokens; la evaluación sobre si el incentivo fue suficiente sigue abierta.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados