Ripple漏洞悬赏争议升级：专家批奖金与风险不匹配
区块链安全分析师ZachXBT在周一发表声明，指出Ripple为修复一个可能引发数万亿枚新XRP生成的高危漏洞，仅向安全团队Veria Labs支付25万美元，这一数额与其所揭示的风险严重不符。该事件再次引发对Ripple长期对待安全研究人员态度的质疑。
漏洞发现者称25万奖励远低于应有回报
ZachXBT于10月12日在社交平台发文批评，强调此漏洞若被滥用，将导致巨额资产无中生有，因此相关研究人员理应获得更高额补偿。他指出，对于联合创始人Cayden Liao及其团队而言，此次成果至少应带来七位数收入。他认为，资本雄厚的机构以微薄奖金对待白帽黑客，是当前行业普遍现象，并警告此类行为可能诱使未来发现者选择私藏漏洞而非主动披露。
AI辅助发现关键整数溢出缺陷
Veria Labs方面回应称，25万美元是根据其在XRPL漏洞赏金计划中的贡献所授予的最高额度，且为历史上首次由人工智能代理独立识别并验证的漏洞所获最大奖金。该漏洞存在于支付引擎中，当多笔报价同时被填充时，系统未校验金额总和是否溢出，导致数值回绕。这使得买家仅支付极小金额，而卖家却收到全额付款，差额可转化为可流通的新XRP。
尽管账本设有防止新币生成的检查机制“XRPNotCreated”，但该机制同样存在类似逻辑缺陷，未能及时拦截异常交易。Veria通过整合2015年与2017年两个独立漏洞，构建出完整攻击路径，并在单笔交易中向256个账户注入18.45万亿枚XRP，约为当前总量的184倍。按1.59美元计价，潜在损失接近940亿美元。
漏洞未被实际利用，修复已迅速部署
经调查确认，开发团队未发现该漏洞曾被实际使用。Ripple官方报告解释称，攻击需数百个报价以非正常方式定价，现实场景中难以实现。该问题于9月22日提交至漏洞赏金计划，次日即获25万美元奖励。修复程序于9月23日合并，并在9月25日随xrpld 3.4.1版本发布。由于影响重大，补丁跳过常规修正案流程，直接随节点升级生效，当日已有超过80%可信验证器完成更新。
开源发布时间引发合规争议
尽管补丁快速上线，但完整代码延迟公开仍遭批评。Cyber Capital创始人Justin Bons指出，在3.4.1正式发布前，网络处于闭源运行状态。对此，RippleX工程师Mayukha Vadari回应称，关键补丁无法纳入常规公开发布，以免被攻击者逆向分析并立即利用。她强调，旧有发布模式已不再适用，必须优先保障系统稳定性与安全性。
