ZachXBT批评XRPL基金会25万美元漏洞赏金过低

链上调查员ZachXBT于2026年10月12日批评了XRP Ledger（XRPL）基金会，因其向一名发现网络关键漏洞的白帽黑客支付了25万美元的漏洞赏金。该缺陷理论上允许攻击者绕过XRP的最大供应量限制，并创建超出许可数量的额外代币。基金会确认该漏洞已在3.4.1版本中得到修补，且在修复前没有恶意铸造额外的XRP。

以区区25万美元奖励白帽黑客解决可能导致无限XRP供应的关键漏洞，而你们的国库里有数十亿美元？谢谢，这确保了下次攻击者利用它时能获利九位数，而不是善意报告。这就是人们不认真对待XRPL或Ripple组织的原因……—— ZachXBT (@zachxbt) 2026年10月12日

ZachXBT将25万美元的奖励形容为“零钱”，认为该漏洞的潜在影响值得更高的补偿。他警告说，对安全研究人员支付不足可能会阻碍负责任的安全漏洞披露，并为一些人利用关键漏洞牟取经济利益提供激励。

加密社区辩论白帽黑客是否获得公平报酬

25万美元的赏金引发了关于负责任的安全漏洞披露是否与利用安全漏洞相比提供足够的财务激励的辩论。一位名为@Wofuhuola的用户指出，盗窃数百万美元的攻击者有时可以通过谈判归还资金以换取较小的奖励和不再追究的承诺。相比之下，报告可能导致数亿美元损失漏洞的白帽黑客可能只获得相对微薄的补偿，这可能会阻碍负责任的披露。

在币圈，如果你发现了一个漏洞，直接把钱拿出来，放到eth链上，比如你拿到1000w美元，他们会和你洽谈，希望你能还回来，并愿意给你200w美元作为奖励，并承诺永不追究事后他们还要谢谢你呢但是如果你是一个白帽，你告诉了他们问题，即使你发现的问题可能会导致几亿美元的损失，他们还是不会感谢你，白帽奖金就像是打发要饭的这就是现状，好人永远被枪指着 — 炒鸡飞行员 (@wofuhuola) 2026年10月12日

然而，另一位用户@Moonkie反驳了这一批评，区分了Ripple和XRPL基金会。根据Moonkie的说法，Ripple拥有更多的财务资源，而基金会无法承担类似的支出。Moonkie还指出，25万美元的奖励遵循现有漏洞赏金计划的规则，尽管这些规则可能需要改进以更好地反映关键漏洞的严重性。

公平，但支付赏金且拥有数十亿的是Ripple，而不是XRPL基金会
XRPL基金会没有那么多钱
同时，遵循了赏金计划的规则——虽然这些规则可能需要改进— moonkie(@xmoonkie) 2026年10月12日

Tim Is for Hire提供了不同的观点，他认为赏金规模会影响研究人员的决定，但不是唯一的考虑因素。使用预期效用框架，评论者解释说，报告或利用漏洞的决定取决于潜在利润、被起诉的风险、洗钱能力以及道德考量。

这种说法并不完全准确。赏金大小确实会影响决定，但并不显著。
一种快速的思考方式是预期效用：理性行为者比较每个选项对他们实际的价值，而不是头条数字。
报告会获得赏金（B），几乎无风险。
利用仅在纸面上支付全额价值（V）。在实践中，你必须根据被捕的可能性、你能实际转化为可用资金的比例以及道德成本来折现。
以Lazarus为例：p ≈ 0（无法律风险），λ ≈ 1（洗钱是其核心技能），E ≈ 0。左侧基本上是全额利用价值，所以任何赏金都无法与之竞争。
白帽黑客面临高道德成本、较高的起诉风险和较弱的洗钱技能。他们从真实黑客行为中获得的预期利润最终甚至低于适度的赏金。
效用函数是说明性的。我突出了一些参数，真正的决策更复杂— Tim is for hire (@grass_the_touch) 2026年10月12日

AI安全测试改变区块链漏洞识别方式

AI驱动的安全测试正在改变开发人员识别区块链软件漏洞的方式。2026年3月的一项研究介绍了由OpenAI、Paradigm和OtterSec开发的EVMbench，评估了AI代理在40个存储库中的117个漏洞方面的表现。基准测试旨在确定代理能否检测缺陷、开发修复程序并在受控环境中利用弱点。其结果显示，AI代理可以发现并利用漏洞，表明自动化测试可以补充传统的安全审计。

然而，识别漏洞并不能保证AI系统能够可靠地利用它或产生安全的修复方案。在2025年的一份报告中，Anthropic指出其Claude Opus 4.5、Sonnet 4.5和GPT-5模型成功生成了此前被利用的智能合约基准测试中34个问题中的19个问题的利用代码。研究表明，相同的技术既可以加强安全测试，也可以扩展攻击者的能力。