币圈界报道：

Ripple对漏洞研究者的奖励被指严重偏低，引发安全界广泛质疑

知名区块链安全分析师ZachXBT周一公开质疑Ripple针对一项潜在可创造数万亿XRP的高危漏洞所设定的25万美元赏金水平，指出该金额远低于合理范畴，并重申其长期对Ripple对待白帽研究人员态度的批评立场。

漏洞发现者称25万赏金为史上最高，但未达预期价值

ZachXBT在10月12日发文指出，尽管Ripple向安全机构Veria Labs发放了25万美元奖金，但这一数额对于其联合创始人Cayden Liao而言，仅相当于“七位数收入”的门槛。他强调，此类支付模式正反映出大型组织对独立安全研究者的系统性低估。尤其当企业资金储备高达数十亿美元时，如此微薄的回报可能诱使未来发现者选择私藏漏洞而非主动披露。

Veria Labs方面回应称，该笔奖金是迄今为止因AI代理发现漏洞而获得的最高额奖励。其团队在XRP Ledger的支付引擎中识别出一个关键整数溢出缺陷，该问题允许在特定条件下绕过余额校验机制。当多笔报价同时成交时，系统未检测金额总和是否超出上限，导致数值回绕，买家仅支付极小费用，而卖家却收到全额款项，差额即被转化为可流通的新XRP。

尽管账本内置有防止新币生成的检查机制“XRPNotCreated”，但该机制同样存在类似逻辑缺陷，未能拦截异常交易。Veria利用其自主开发的AI工具，将两个分别记录于2015年与2017年的独立漏洞串联成完整攻击路径。在一次概念验证中，系统向256个账户注入了18.45万亿枚XRP，约为当前总供应量1000亿的184倍。按1.59美元计价，潜在风险资产价值接近940亿美元。

值得注意的是，目前并无证据表明该漏洞已被实际用于恶意攻击。Ripple官方报告指出，实现攻击需数百个报价以非现实方式定价，不符合正常市场行为。该漏洞由Veria于9月22日通过XRPL漏洞赏金计划提交，并因此获颁25万美元奖励。

类比案例：Zcash曾以百万级奖金激励漏洞披露

ZachXBT援引另一案例进行对比：Zcash曾向研究员Taylor Hornby颁发总计150万美元奖金，以表彰其揭示Orchard隐蔽池中的伪造漏洞。该缺陷威胁约23亿美元的ZEC资产，而Hornby除获得75万美元基础奖励外，还获得75万美元匹配奖金，后者源自硬币持有者批准的季度回溯分配计划，总额达839万美元。

Shielded Labs执行总监Jason McGee提交提名时指出，原始奖励仅占受影响资金的约0.033%，远低于此前最低先例0.24%。他认为，更高额度的赏金对协议而言实为“低成本保险”。与Veria的情况相似，该漏洞亦由人工智能辅助完成，凸显自动化工具在高级漏洞挖掘中的日益重要。

漏洞已修复，但发布流程遭质疑

Ripple工程团队RippleX在接收报告当日确认该漏洞存在。在验证其可生成并花费非法XRP后，将其评定为“关键”级别。修复补丁于9月23日合并，并于9月25日随xrpld 3.4.1版本正式发布。不同于常规更新需经修正案流程（要求超80%可信验证器连续两周支持），此次修复通过服务器逐级升级直接生效，发布时已有超过80%的默认唯一节点列表验证器运行新版代码。

然而，公司未立即公开完整源码的做法引发争议。Cyber Capital创始人Justin Bons指出，在3.4.1完整代码释出前，XRP网络实际上处于“闭源运行状态”。对此，RippleX工程师Mayukha Vadari解释称，关键补丁无法纳入常规公开发布，以免攻击者迅速逆向分析并利用。她强调，旧有发布模式已不再适用，必须采取更谨慎的分阶段部署策略以保障系统安全。