Ripple漏洞赏金25万引发争议，ZachXBT质疑奖励过低

区块链安全专家ZachXBT周一公开质疑Ripple对漏洞发现者支付的25万美元奖金水平过低，认为该金额远不足以反映潜在风险。这一事件再次引发关于大型加密项目对待白帽研究者态度的行业争议。

漏洞影响范围惊人：可生成18.45万亿枚XRP

Veria Labs在XRP Ledger支付引擎中发现一个关键整数溢出缺陷，当多笔报价同时被填充时，系统未校验金额总和是否超出上限，导致数值回绕。这使得买家仅支付极小金额，而卖家却全额收款，差额可被用于创建新XRP代币。

该漏洞由其AI代理在2015年与2017年的两个历史漏洞基础上串联验证成功，单笔交易向256个账户注入18.45万亿枚XRP，约为当前总供应量的184倍。按1.59美元估值，相关资产面临近940亿美元风险。

为何奖励仅25万美元？业内质疑声四起

ZachXBT指出，对于可能引发系统性危机的重大发现，25万美元的回报“严重低估”。他强调，当企业资金储备达数十亿美元时，此类奖励显得微不足道，并警告低报酬可能诱使研究人员选择私下利用漏洞而非报告。

相比之下，Zcash曾向研究员Taylor Hornby支付150万美元奖金，用于揭露其隐蔽池中的伪造漏洞，涉及约23亿美元资产风险。尽管该奖励包含两部分，但其占风险金额比例仍远高于此次Ripple案例。

漏洞已修复，但发布流程受质疑

RippleX团队于9月22日收到报告后迅速确认问题，将其定为关键级别。修复程序于次日合并，并随xrpld 3.4.1版本于9月25日发布。由于漏洞暴露时间较长，此次更新跳过了传统修正案流程，直接通过服务器升级部署。

然而，完整源代码延迟公布引发关注。有观点认为，在正式发布前，网络处于闭源运行状态，存在潜在安全隐患。RippleX工程师回应称，核心补丁无法纳入常规公开发布，以免被攻击者逆向分析。

目前，超过80%的可信验证器已升级至最新版本，系统安全性得到保障。