ZachXBT批評XRPL僅支付25萬美元白帽賞金

鏈上偵探ZachXBT針對XRP Ledger Foundation回應安全修復相關誤解發文表示，明明金庫坐擁數十億美元，卻只給發現可導致XRP無限增發嚴重漏洞的白帽黑客支付25萬美元。

他稱這簡直是在助攻，確保下次攻擊者不再選擇善意上報漏洞，而是直接利用它竊取九位數（數億美元）資金，正因如此人們才無法把XRP Ledger或Ripple作爲一個正經機構認真看待。

該漏洞爲支付引擎中自2015年存在的整數溢出問題，可通過構造數百個異常定價報價並一次性消耗，使買方僅支付極低金額而賣方獲得全額，從而憑空生成約18萬億枚XRP（約總供應量1000億的184倍）。

漏洞由Cayden Liao與Veria Labs的AI代理發現並構建利用證明，於9月22日通過賞金計劃上報，RippleX在三日內發佈xrpld 3.4.1修復，9月25日超80%默認UNL驗證者升級，未發現任何公共網絡被利用證據。

Veria Labs確認獲得該計劃最高25萬美元賞金，並稱這是已知完全由AI代理發現漏洞中支付最高的一筆，XRPL Foundation表示當前流通約999.86億枚XRP，無新增發行。

事件驅動爲AI發現的潛在無限增發風險與賞金定價爭議，資金流向爲有限白帽獎勵而非更高比例風險對價，受益方爲及時上報的安全研究者，承壓方爲依賴固定供應敘事的XRPL與Ripple機構信任度。

基金會計劃加強AI對抗測試、形式化驗證與賞金計劃，以應對未來類似風險。

來源：公開信息

ABAB AI 解讀

XRP Ledger自2012年以固定1000億枚供應上線以來，支付引擎代碼於2015年引入相關邏輯，歷史上依賴驗證者共識與有限賞金計劃維護安全，2026年引入AI紅隊測試後發現十餘個漏洞，此次爲該路徑的延續，但賞金上限仍維持在25萬美元量級。

資本路徑上，Ripple通過XRPL基金會金庫持有數十億美元資產，資源優先用於網絡運營與合規，而非將潛在攻擊收益（單筆可達數千億市值）按比例轉化爲白帽激勵，動機在於控制賞金成本同時維持固定供應敘事，但AI發現速度已超過傳統人工審計節奏。

類似案例包括2021年Polygon曾面臨約240億美元風險的漏洞、Bybit 15億美元被盜事件，以及部分交易所對歸還資金支付更高比例獎勵（如約41萬美元ETH歸還獎勵），當前XRPL處於從傳統共識安全向AI輔助安全轉型的階段，賞金機制尚未同步升級。

本質屬於定價權轉移與監管變化：漏洞激勵從“善意上報獲得固定上限”轉向“攻擊收益與上報收益嚴重不對稱”，機制在於金庫規模與潛在損失（單筆可達18萬億枚）之間的定價錯位，使白帽路徑依賴下降而黑帽路徑依賴上升，最終影響機構對賬本固定供應承諾的信任定價。

ABAB News · 認知定律