Ripple 25万奖金引争议：漏洞赏金被指过低，行业热议安全激励机制

区块链安全专家ZachXBT周一公开质疑Ripple对漏洞研究团队的奖励水平，指出其向Veria Labs支付的25万美元赏金远低于合理预期。这一事件再次引发对大型加密项目如何对待白帽安全研究人员的广泛讨论。

漏洞发现与潜在风险

Veria Labs在XRP Ledger的支付引擎中识别出一个关键整数溢出缺陷，该问题允许在特定条件下创建大量未授权的XRP。当一笔付款同时匹配多个报价时，系统未校验总金额是否超出上限，导致数值回绕，买家仅支付极小代价，而卖家获得全额结算，差额即为可流通的新XRP。

尽管账本设有“XRPNotCreated”检测机制，但该保护措施未能覆盖此场景。通过整合2015年和2017年的两个历史漏洞，Veria的AI代理成功构建了概念验证，单次交易向256个账户注入18.45万亿枚XRP——相当于当前供应量的184倍。按1.59美元估值，相关风险资产接近940亿美元。

奖励争议与行业对比

ZachXBT在10月12日发文强调，对于此类高影响发现，25万美元的回报“严重偏低”。他指出，类似规模的漏洞若被恶意利用，将威胁整个网络信任体系，并警告微薄激励可能导致研究人员转向攻击而非报告。

相较之下，Zcash曾因发现Orchard隐蔽池伪造漏洞向研究员Taylor Hornby发放150万美元奖金，涵盖75万基础奖及75万匹配奖金。Shielded Labs负责人Jason McGee表示，该金额占潜在风险资金的0.033%，而行业最低标准约为0.24%。他认为更高奖励是“低成本保险”，且该发现亦由AI辅助完成。

修复进展与发布争议

RippleX团队于9月22日收到报告后立即确认漏洞为关键级别，并于次日合并修复代码。补丁随xrpld 3.4.1版本于9月25日发布，采用直接升级方式，无需依赖传统修正案流程，因漏洞暴露时间较长，无法等待共识周期。

然而，完整源码延迟公开引发质疑。Cyber Capital创始人Justin Bons指出，新版本在正式发布前以闭源形式运行，存在安全隐患。RippleX工程师Mayukha Vadari回应称，核心补丁不能提前开放，否则攻击者将迅速逆向分析并利用。