ZachXBT 痛批 XRPL 赏金：无限铸币漏洞暴露 940 亿美元风险，白帽应得七位数

链上侦探 ZachXBT 于 10 月 12 日在 X 平台公开批评 XRP Ledger（XRPL）的漏洞赏金机制：Veria Labs 通报单笔可铸造约 18.45 万亿 XRP（总量的 184 倍）的重大整数溢出漏洞，暴露风险达 940 亿美元，却仅获发计划上限的 25 万美元赏金。

漏洞背景与时程：AI 找到 2015 年整数溢出，单笔可铸造 18.45 万亿 XRP

依据 Veria Labs 官方博客，漏洞源于 2015 年便存在于 XRP Ledger 支付引擎中的整数溢出问题，由 Veria 的 AI 代理在自动分析中发现并自行串成可用攻击。单笔交易可铸造约 18.45 万亿枚 XRP，是 1,000 亿枚总量的 184 倍，且可重复执行；XRPL 官方漏洞披露报告指出，未见公开网络遭利用迹象。

Veria 以当时市值估算，暴露在风险中的价值达 940 亿美元，超过 Bybit 黑客事件（15 亿美元）的 60 倍以上。关键时程节点如下：

2026 年 9 月 21 日：AI 代理找到漏洞；9 月 22 日：向 XRPL 通报并获回复

2026 年 9 月 25 日：XRPL 紧急发布修补版本，超过 80% 验证者完成升级

2026 年 10 月 8 日：Veria Labs 获发漏洞赏金计划上限金额 25 万美元

ZachXBT 批评论点与业界赏金行情

ZachXBT 的核心批评逻辑是：若发现者通报能拿的赏金远低于直接利用的潜在获利，赏金计划本身就在制造不当诱因。他指 XRPL 金库里有数十亿资产，却拿 25 万美元打发通报 940 亿美元规模漏洞的研究员，「等于确保下一次攻击者会拿走九位数，而不是善意通报」，并称「这就是人们不把 XRPL 或 Ripple 当成严肃组织的原因」。他同时点名 Zcash 为业界正确示范：Zcash 曾支付七位数美元酬谢 Taylor Hornby 通报 Orchard 伪造铸币漏洞。

依据 Immunefi 公开记录，同类重大漏洞的行业赏金包括：Wormhole 1,000 万美元、Aurora 600 万美元、Polygon 220 万美元，以及 2022 年 Optimism 无限增发 ETH 漏洞的约 200 万美元，均为 XRPL 此次 25 万美元的数倍至数十倍。

Veria Labs 不喊冤，XRP 社群反呛

值得注意的是，当事人 Veria Labs 本身并未公开抱怨赏金金额。Veria 在官方博客感谢 XRPL 团队反应迅速，全文未见金额异议，且称就其所知，这是「完全由 AI 代理发现的漏洞所获得的最高赏金」，并将此作为营销成绩宣传。

XRP 社群的部分拥护者亦反驳 ZachXBT：XRPL 漏洞赏金计划的上限本来就是 25 万美元，Veria 在知情下通报并领走上限，做了对的事；还有人直接指出 ZachXBT 只是个人不喜欢 XRP，在借题发挥。

XRPL 基金会回应：承诺强化赏金计划但无具体金额与时程

XRPL 基金会在 ZachXBT 开炮的约 11 小时前已发布声明，表示此次漏洞没有任何 XRP 被凭空创造，一般支付交易无法触及此路径，并宣布计划采用形式化验证（formal verification）与 AI 对抗测试，且将「强化漏洞赏金计划」；但声明全文未提新的赏金金额，强化计划亦未给出具体时程。

自介为基金会贡献者的 Vet 回复 ZachXBT 表示：「在诱因结构上我们看法一致」，并说过去曾在赏金计划之外与赏金猎人签订商业合约，强调诱因结构应与风险价值保持相称，「最终要挺白帽，那比对付 Lazarus 好太多了」；但他未明确表示是否会对 Veria Labs 追加报酬。

常见问题

Veria Labs 发现的 XRP Ledger 漏洞有多严重？

依据 Veria Labs 官方博客及 XRPL 官方漏洞披露报告，这是 2015 年遗留的支付引擎整数溢出漏洞；单笔交易可铸造约 18.45 万亿枚 XRP（是 1,000 亿枚总量的 184 倍），可重复执行，暴露风险估达 940 亿美元，但未见公开网络遭利用迹象。

XRPL 给予 Veria Labs 的赏金金额是多少，与业界水平相比如何？

依据 Veria Labs 公告，Veria 于 2026 年 10 月 8 日获发 25 万美元，为 XRPL 漏洞赏金计划的上限金额；依据 Immunefi 公开记录，同类重大漏洞的行业赏金包括 Wormhole 1,000 万美元、Aurora 600 万美元、Polygon 220 万美元，均远高于此次金额。