ZachXBT质疑XRPL基金会25万赏金过低：漏洞影响或致无限供应

2026年10月12日，知名链上分析师ZachXBT公开质疑XRP Ledger（XRPL）基金会对一名白帽黑客支付的25万美元漏洞赏金金额过低。该漏洞理论上可绕过XRP最大供应量限制，允许创建超出许可总量的代币。

基金会确认该问题已在3.4.1版本中修复，且在修复前未发生恶意铸造行为。然而，ZachXBT指出，面对可能引发数亿美元损失的高危漏洞，25万美元的奖励形同“零钱”，难以体现其真实风险价值。

漏洞赏金是否足以激励负责任披露？

此次事件引发了加密社区关于安全激励机制的广泛讨论。有用户@Wofuhuola指出，现实中攻击者若主动归还资金，常可获得数百万美元的宽大处理；而白帽黑客即便发现可能造成巨额损失的漏洞，却往往只能获得微薄回报。

“如果你发现漏洞直接转账到以太坊链上，可能拿到1000万美元，对方愿出200万作为奖励并承诺不追究。但如果你是白帽，如实报告，他们甚至不会道谢。”该用户强调，这种不对等激励正削弱负责任披露的积极性。

对此，@Moonkie回应称，XRPL基金会并非Ripple公司，财务资源有限，25万美元的奖励仍遵循既定赏金计划规则。虽然制度有待优化，但并非出于忽视安全。

“公平，但支付赏金且拥有数十亿资产的是Ripple，而非基金会。它没有足够预算，但仍遵守了现有规则。”—— @Moonkie

另有观点来自Tim Is for Hire，他提出决策不应仅看赏金数额，而需结合预期效用模型分析：包括被捕风险、洗钱能力与道德成本等因素。例如，像Lazarus这样的组织几乎无法律风险且具备强洗钱能力，因此即使高额赏金也无法与其行为竞争。

“白帽面临高起诉风险和弱变现能力，其实际收益远低于合理赏金。真正决策远比表面数字复杂。”

AI技术重塑区块链安全测试格局

2026年3月，由OpenAI、Paradigm与OtterSec联合推出的EVMbench基准测试揭示了人工智能在识别区块链漏洞中的潜力。该测试评估了多个AI代理在40个开源项目中117个已知漏洞的表现。

结果显示，部分先进模型不仅能定位缺陷，还能生成利用代码并提出修复方案，表明自动化工具可有效辅助传统审计流程。

然而，研究也提醒，能发现漏洞并不等于能可靠利用或生成安全补丁。2025年报告指出，Claude Opus 4.5、Sonnet 4.5及GPT-5等模型成功复现了34个历史漏洞中的19个攻击路径。

这说明同一技术既能提升防御能力，也可能被用于增强攻击手段，凸显安全测试双刃剑特性。