區塊鏈調查員 ZachXBT 批評支付給發現 XRP Ledger 重大漏洞之研究人員的 25 萬美元獎勵，認為相對於該漏洞可能造成的損害，這筆款項明顯偏低。

在 10 月 12 日於 X 上發布的貼文中，ZachXBT 質疑，為何一位負責任地揭露了一個能夠創造超出預期供應量之 XRP 的漏洞的研究人員，僅獲得 25 萬美元的獎勵。

「你的金庫坐擁數十億美元，卻只廉價地付給白帽駭客 25 萬美元來回報一個可無限增發 XRP 的重大漏洞？」他寫道。

他警告，不足的報酬可能會阻礙未來的漏洞揭露，並可能促使惡意行為者選擇利用漏洞而非回報。ZachXBT 也質疑 Ripple 與更廣泛的 XRP Ledger 生態系在安全激勵機制上的可信度。獎勵金額的設定一直是軟體安全領域反覆出現的爭論點：賞金上限通常由贊助組織事先固定，而未修補漏洞的潛在成本可能遠大於此。

25 萬美元已是計畫的最高獎勵

這番批評是在 XRP Ledger 基金會作出回應說明該漏洞及其緊急修補之後出現。

安全研究人員 Cayden Liao 與 Veria AI 於 9 月 21 日發現該漏洞，並於次日透過 XRPL Bug Bounty 計畫提交。Veria Labs 於 10 月 8 日確認已收到 25 萬美元，即該計畫的最高金額，並表示一個 AI 安全代理發現了該漏洞並產生可運作的概念驗證。此類漏洞賞金計畫是業界補償負責任揭露的標準機制，支付上限由計畫贊助方設定。

該公司估計，一筆意交易本可創造約 18 兆枚 XRP，超過該加密貨幣原始 1,000 億枚供應量的 180 倍。Veria Labs 也表示，就其所知，這是針對一個完全由 AI 代理發現之漏洞所支付的最大賞金。

ZachXBT 的批評聚焦於獎勵上限與攻擊潛在經濟後果之間的落差。他的警告涉及未來研究人員所面對的激勵機制，而非指控此次揭露團隊有任何不當行為。

XRP Ledger 漏洞自 2015 年即存在

這筆受爭議的款項涉及一個超過十年未被發現的重大支付引擎漏洞。該漏洞屬於整數溢位問題——即當計算結果超出數值欄位可儲存的最大值時發生的一類錯誤——當一筆特殊構造的支付消耗 XRP Ledger 去中心化交易所上的數百個掛單時即可能被觸發。

攻擊者可以操縱計算，使掛單擁有者收到全額 XRP，而支付帳戶僅被扣除總額的一小部分。一項旨在防止未經授權創造 XRP 的既有防護機制也存在相同的溢位問題。

官方漏洞揭露報告確認，RippleX 工程師在獨立的測試環境中重現了該攻擊，並驗證新創造的 XRP 隨後可被花費。未發現任何在公開 XRP Ledger 網路上被利用的證據。

緊急修補程式於三天內部署

RippleX 於 9 月 25 日在 xrpld 3.4.1 版本中發布修正更新，即收到回報後三天。此緊急應變繞過了通常的修正案投票程序——驗證節點通常透過此程序對協議變更進行投票——因為開發人員認為讓漏洞持續暴露，比部署即時的共識敏感修補程式的風險大得多。

在發布當日，預設 Unique Node List 上超過 80% 的驗證節點已完成升級，使網路免受該供應量創造漏洞的威脅。

研究人員於近兩週後收到獎勵，完整技術揭露則於 10 月 9 日公開。這一連串流程——私下回報、緊急修補、支付獎勵、隨後完整公開揭露——遵循軟體安全領域廣泛使用的協同漏洞揭露模式，旨在讓網路營運者在漏洞利用細節公布前有時間完成升級。這筆 25 萬美元的款項仍是該計畫因此次發現所確認支付的最高賞金。