币圈界报道：

Ripple悬赏25万美元引争议：漏洞价值被严重低估

区块链安全分析师ZachXBT周一指出，Ripple向安全团队Veria Labs支付的25万美元奖金，针对的是一个可能催生数万亿枚新XRP的高危漏洞，这一数额远低于合理预期。该事件再次暴露了他对Ripple长期对待白帽研究员态度的不满。

漏洞发现者质疑奖金分配合理性

ZachXBT在10月12日的社交媒体发文中批评，对于发现该缺陷的团队及其联合创始人Cayden Liao而言，25万美元仅能覆盖极小部分潜在收益。他强调，此类发现本应带来七位数级别的回报，并指出这反映出大型机构对安全研究人员的系统性轻视。他认为，当企业拥有数十亿美元储备时，如此微薄的激励可能诱使未来发现者选择私藏漏洞而非主动披露。

AI辅助发现关键整数溢出漏洞

Veria Labs方面回应称，25万美元是其通过XRPL漏洞赏金计划获得的最高奖金，且该漏洞由人工智能代理独立识别。该漏洞存在于XRP Ledger的支付引擎中，当一笔交易同时匹配多个报价时，系统未对总额进行溢出检测，导致数值回绕。结果是买家支付极小金额，而卖家收到全额付款，差额即为可自由流通的新XRP。尽管账本设有“XRPNotCreated”防护机制，但其本身也存在类似缺陷，未能阻止异常。

Veria表示，其AI模型将两个分别于2015年11月和2017年2月记录的漏洞串联成完整攻击路径，并在单笔交易中向256个账户注入18.45万亿枚XRP，相当于当前固定供应量1000亿的184倍。按1.59美元计价，相关资产面临约940亿美元的市场风险。

漏洞是否已被及时修复？

RippleX工程团队在收到报告当天确认漏洞存在，并在验证其可被实际利用后将其定级为关键。修复代码于9月23日合并，并随xrpld 3.4.1版本于9月25日发布。由于漏洞可能持续暴露数周，此次更新跳过了常规修正案流程，依赖服务器自主升级。截至发布日，超过80%的默认节点已部署新版本。

然而，开源社区对此提出质疑。Cyber Capital创始人Justin Bons指出，在完整代码公布前，网络运行于闭源状态。RippleX工程师Mayukha Vadari回应称，关键补丁无法纳入常规公开发布，以免被攻击者迅速逆向分析并利用。