区块链调查员ZachXBT质疑XRP漏洞赏金过低
区块链调查员ZachXBT对支付给发现XRP Ledger（XRPL）关键漏洞研究人员的25万美元赏金提出了批评。他认为，与这一缺陷可能造成的潜在损害相比，这笔 payouts 显得微不足道。
ZachXBT在10月12日发布于X平台上的帖子中质疑，为何一名负责任地披露了能够超出预期供应量创建XRP漏洞的研究人员，仅获得了25万美元的奖励。
“当你们的金库拥有数十亿美元时，却仅用25万美元廉价打发白帽黑客去修复一个可能导致无限XRP供应的关键Bug，这合理吗？”他写道。
他警告称，补偿不足可能会挫伤未来研究人员披露漏洞的积极性，从而可能鼓励恶意行为者利用漏洞而非报告它们。此外，ZachXBT还质疑Ripple及XRP Ledger生态系统在安全激励措施方面的可信度。
25万美元为程序规定的最高奖励上限
此次批评紧随XRP Ledger基金会针对该漏洞及其紧急修复措施的回应之后。
安全研究员Cayden Liao和Veria AI于9月21日发现了该缺陷，并于次日通过XRPL漏洞赏金计划提交了报告。Veria Labs于10月8日确认收到了25万美元，这是该计划下可用的最高金额。该公司表示，该漏洞是由AI安全代理识别并生成了概念验证代码。
该公司估计，单个恶意交易即可产生约18万亿个XRP，超过加密货币原始1000亿供应量的180倍。Veria Labs还将此次支付描述为其所知的、由AI代理完全发现的漏洞中最大的赏金。
ZachXBT的批评焦点在于奖励上限与攻击可能带来的经济后果之间的差距。他的担忧主要涉及未来研究人员面临的激励机制，而非指控负责此次披露的团队有任何不当行为。
XRP Ledger漏洞自2015年即已存在
争议的付款涉及一个关键的支付引擎漏洞，该漏洞已存在十多年未被发现。
该缺陷涉及整数溢出问题，可能在特制支付消耗XRP Ledger去中心化交易所的大量挂单时发生。攻击者可以操纵计算过程，使得挂单所有者收到全额XRP，而支付账户仅被扣除总金额的极小部分。原本旨在防止未经授权创建XRP的安全机制也存在同样的溢出问题。
官方漏洞披露文件证实，RippleX工程师在独立的测试环境中重现了该漏洞，并验证了新创建的XRP随后可以被花费。目前未在公共XRP Ledger网络上发现任何被利用的证据。
紧急补丁在三天内部署
RippleX于9月25日发布了修正更新（xrpld版本3.4.1），距离收到报告仅过去了三天。
由于开发人员认为让漏洞暴露的风险远大于部署即时共识敏感修复方案的风险，因此此次应急响应跳过了常规的修正案投票流程。截至发布之日，默认唯一节点列表（UNL）上超过80%的验证器已完成升级，从而保护网络免受供应创建漏洞的影响。
研究人员在近两周后收到了他们的奖励，完整的技术披露于10月9日公开。这25万美元的付款仍是该项目下因发现该漏洞而确认发放的最高赏金。
