Ripple已修复XRP Ledger（XRPL）中的一项高危漏洞。该漏洞存在于XRPL支付引擎中，理论上可导致异常生成约18.45万亿枚XRP，规模约为其1000亿枚固定供应量的184倍。与此同时，Ripple向漏洞报告方Veria Labs支付25万美元漏洞赏金，也在业内引发争议。

据区块链媒体Cryptopolitan 12日（当地时间）报道，链上调查人士zachxbt公开质疑Ripple此次赏金金额偏低。他认为，这类级别的漏洞奖励至少应达到100万美元以上。zachxbt还指出，对于一家关联数十亿美元资产安全的企业而言，25万美元的赏金明显不足。

在他看来，过低的奖励标准可能削弱安全研究人员主动披露漏洞的意愿。若发现严重漏洞后得不到与风险相匹配的回报，未来研究者可能更倾向于保留甚至利用漏洞，而非选择公开报告。

此次争议的核心，是XRPL支付引擎中的一项整数溢出漏洞。该引擎负责借助网络内置订单簿完成交易结算。问题出现在一次结算同时撮合多笔订单时，系统对总金额的溢出检查未能有效生效。

所谓整数溢出，是指运算结果超出计算机可处理的数值范围，从而导致异常结果。在这一漏洞场景下，订单合计金额可能被错误处理为远低于实际数值。由此一来，卖方仍可收到正常对价，而买方仅支付被缩小后的金额，最终形成相当于凭空生成XRP的结果。

报道还称，原本用于防止新增XRP的保护机制“XRPNotCreated”也未能有效拦截相关异常。Veria Labs表示，其AI智能体将2015年11月和2017年2月写入代码的漏洞线索串联起来，并据此完成了概念验证（PoC）。

在概念验证过程中，研究团队通过一笔交易，向256个账户合计记入18.45万亿枚XRP。按规模计算，这相当于XRP 1000亿枚固定供应量的184倍。需要说明的是，这一结果仅用于验证漏洞可能造成的后果，并不意味着现实中已有同等规模的XRP被生成并进入流通。

Veria Labs联合创始人Caden Liao表示，Ripple此次支付的25万美元，已是其漏洞赏金计划设定的最高金额。他还称，这是迄今为止针对“完全由AI智能体发现”的漏洞所支付的最高一笔赏金。不过，zachxbt认为，问题恰恰在于奖励上限本身过低，无法为发现重大漏洞的研究人员提供足够激励。

Ripple则表示，尚未发现该漏洞被实际利用的迹象。公司解释称，若要完成攻击，需要在真实交易者通常不会使用的价格区间内，预先布置数百个订单，因此实施门槛较高。

Veria Labs于9月22日通过XRPL漏洞赏金计划提交报告，RippleX于当天完成确认。此后，研究团队进一步验证了“生成的XRP具备可用性”，并将这一漏洞定性为致命级别。

在确认风险后，Ripple加快推进修复工作。补丁于9月23日完成合并，并于9月25日被纳入XRPL软件xrpld 3.4.1版本。按照通常流程，涉及交易处理逻辑的变更需经过修订程序，即连续两周获得超过80%的可信验证者同意后方可生效。但这一次，XRPL采用了另一种机制，相关修复可在服务器升级后立即生效。3.4.1发布当日，默认唯一节点列表（UNL）中已有超过80%的验证者运行该版本。

Ripple称，这是其近10年来首次在未经过修订流程的情况下调整交易处理方式。公司认为，一旦漏洞细节公开并长期暴露，攻击者利用缺陷的风险将明显上升。

不过，修复过程中完整源代码的延后公开，也引发了新的争议。Cyber Capital创始人Justin Bons批评称，在xrpld 3.4.1完整代码公开之前，XRPL一度接近“闭源”状态运行。对此，RippleX工程师Mayukha Badari回应称，按照传统节奏公开代码已难以应对此类致命漏洞，因为攻击者可能通过分析代码改动，反向定位漏洞并发起攻击。

这场争议也已从“漏洞赏金是否合理”，进一步扩大到大型区块链网络应如何平衡漏洞响应速度与公开透明原则。zachxbt以Zcash为例指出，Zcash曾向研究人员Taylor Hornby支付总计150万美元，用于报告一项可能危及约23亿美元资产安全的伪造漏洞，而该漏洞同样是在AI辅助下被发现。

业内人士认为，快速修复致命漏洞固然重要，但为漏洞发现者提供与风险影响相匹配的回报，同样是维护区块链生态安全的重要一环。