ZachXBT质疑XRP漏洞赏金过低：25万奖励难掩潜在风险

区块链安全研究员ZachXBT近日公开质疑XRP Ledger（XRPL）漏洞赏金计划的激励力度，指出25万美元的最高奖励与潜在破坏力严重不匹配。

漏洞威胁远超奖励金额

该争议源于9月21日由安全研究团队Cayden Liao与Veria AI共同发现的一处核心支付引擎缺陷。该问题源于整数溢出逻辑，可能被恶意利用以绕过供应限制机制，单笔交易即可生成约18万亿枚XRP——相当于原始总量的180倍。

尽管官方确认该漏洞在测试环境中已被复现，并验证了新生成的XRP可被正常花费，但截至目前未在主网发现实际攻击痕迹。此次事件也凸显出长期未被察觉的安全隐患，其存在时间可追溯至2015年。

紧急修复与快速响应

RippleX团队在收到报告后仅三天内即发布xrpld 3.4.1版本更新，跳过常规投票流程以应对高风险。此举确保了超过80%的默认节点列表（UNL）验证器完成升级，有效阻断漏洞传播路径。

研究人员于10月8日获得全额25万美元奖金，为当前漏洞赏金计划设定的上限。这一数额虽创纪录，但并未缓解外界对其激励结构合理性的质疑。

AI首次主导发现关键漏洞

值得注意的是，此次漏洞系由AI安全代理自主识别并生成概念验证代码，是迄今由人工智能完全发现的最大规模漏洞案例。这也标志着自动化安全检测在区块链领域的应用迈入新阶段。

ZachXBT强调，若未来研究人员因回报过低而放弃披露，将可能促使更多恶意行为者选择隐藏漏洞而非上报，从而加剧系统性风险。他呼吁重新评估安全激励机制，以维护整个生态的信任基础。