区块链调查员 ZachXBT 批评了支付给发现 XRP Ledger 关键漏洞的研究人员的 25 万美元赏金，认为相对于该漏洞可能造成的潜在损失，这笔支出显得过低。

ZachXBT 在 10 月 12 日发布于 X 的帖子中质疑，为何一位负责任地披露了可创建超出既定供应量 XRP 的漏洞的研究人员，仅获得 25 万美元的奖励。

他写道："你的金库坐拥数十亿美元，却只以 25 万美元的低价酬谢发现关键无限 XRP 供应漏洞的白帽黑客？"

他警告说，报酬不足可能打消未来披露的积极性，并可能促使恶意行为者选择利用漏洞而非上报。ZachXBT 还就安全激励机制的处理方式，质疑了 Ripple 及更广泛的 XRP Ledger 生态系统的可信度。在软件安全领域，赏金规模的设定一直是反复争论的话题：赏金上限通常由发起组织预先确定，而未修复漏洞的潜在代价可能远高于此。

25 万美元已是该计划的最高赏金

该批评是在 XRP Ledger 基金会就漏洞及其紧急修复作出回应之后提出的。

安全研究人员 Cayden Liao 与 Veria AI 于 9 月 21 日发现了该漏洞，并于次日通过 XRPL Bug Bounty 计划提交。Veria Labs 于 10 月 8 日确认收到 25 万美元，即该计划下的最高赏金，并表示其 AI 安全代理识别了该漏洞并生成了可用的概念验证。此类漏洞赏金计划是奖励负责任披露的行业标准机制，赔付上限由计划发起方设定。

该公司估计，一笔恶意交易本可创建约 18 万亿枚 XRP——为该加密货币最初 1000 亿枚供应量的 180 多倍。Veria Labs 还表示，这是其所知的、完全由 AI 代理发现的漏洞所获得的最高赏金。

ZachXBT 的批评聚焦于赏金上限与攻击潜在经济后果之间的差距。他的警告针对的是未来研究人员所面临的激励机制，而非指认此次披露团队存在不当行为。

XRP Ledger 漏洞自 2015 年起就已存在

这笔引发争议的赏金涉及一个十多年未被发现的关键支付引擎漏洞。该漏洞为整数溢出——即计算结果超出数字字段可存储的最大值时发生的一类缺陷——当一笔特殊构造的支付消耗 XRP Ledger 去中心化交易所上的数百个挂单时便可能被触发。

攻击者可以操纵计算过程，使挂单所有者收到其全部 XRP 金额，而支付账户仅被扣除总额中的一小部分。原本用于防止未经授权创建 XRP 的一项保障机制也存在同样的溢出问题。

官方漏洞披露报告确认，RippleX 工程师在独立测试环境中复现了该攻击，并验证了新创建的 XRP 随后可以被使用。未发现任何在公开 XRP Ledger 网络上被利用的证据。

紧急补丁在三天内完成部署

RippleX 9 月 25 日在 xrpld 3.4.1 版本中发布了修复更新，即收到报告三天后。此次紧急响应绕过了通常的修正案投票流程——验证节点通常通过该流程对协议变更进行投票——因为开发人员认为，让漏洞继续暴露的风险远大于立即部署涉及共识的修复方案。

到发布之日，默认唯一节点列表（Unique Node List）上超过 80% 的验证节点已完成升级，使网络免受该供应量创建漏洞的影响。

研究人员在近两周后收到赏金，完整的技术披露于 10 月 9 日公开。这一流程——私下报告、紧急补丁、支付赏金、随后完整公开披露——遵循了软件安全领域广泛采用的协调漏洞披露模式，旨在让网络运营者在漏洞利用细节公布前有时间完成升级。这 25 万美元仍是该计划下因发现此漏洞而确认支付的最高赏金。