安全公司靠AI找到了一个很危险的漏洞，这个漏洞能凭空造出海量代币。但是区块链调查员觉得项目给的赏金太少了。调查员认为项目资金充足，这么低的奖励，可能会让发现漏洞的黑客选择直接盗币，而不是上报漏洞。安全公司解释，这笔钱已经是这个赏金项目能给到的最高额度，也是AI挖到漏洞的最高奖励。下面小编简单梳理了ZachXBT批评Ripple漏洞赏金过低的原因。

区块链调查员ZachXBT周一表示，Ripple向安全公司Veria Labs支付的25万美元（用于发现一个可能铸造数万亿XRP的漏洞）远低于合理水平。

这一事件重新点燃了ZachXBT长期以来对Ripple对待研究人员方式的批评。

Ripple到底付给VeriaLabs多少钱？

ZachXBT在X平台的一篇文章中批评了Ripple授予VeriaLabs的250,000美元奖金，该文章于10月12日发布。他写道，该发现“至少应为VeriaLabs及其联合创始人Cayden Liao带来七位数（百万级）的收入”。

ZachXBT表示，此次付款是“资本雄厚的组织”压低白帽安全研究人员报酬的趋势之一。

他指出，当付款组织的“金库拥有数十亿美元”时，25万美元的奖励太少，并警告说微薄的奖励可能会诱惑下一个发现此类漏洞的人去利用它，而不是披露它。

廖则表示，Ripple向Veria支付了该计划最高25万美元的奖金，并称这是有史以来支付给完全由AI代理发现的漏洞的最大金额。

VeriaLabs发现XRP Ledger支付引擎中存在一个关键的整数溢出漏洞，该引擎负责根据网络内置订单簿结算交易。

当一个支付同时成交多个报价时，引擎会将金额相加而未检查是否发生溢出。足够大的总额会回绕成一个极小的数字。卖家全额收到付款，但买家仅被收取这个极小的数字。

这一差额创造了新的XRP，可以像其他任何XRP一样花费。

账本有一个名为“XRP Not Created”的安全检查机制，旨在阻止任何创建新币的交易，但它存在类似的漏洞，因此未能检测到这种不平衡。

Veria表示，其AI智能体将分别于2015年11月和2017年2月发现的两个漏洞串联起来，构建了一个可工作的概念验证。该智能体在单笔交易中为256个账户注入了18.45万亿XRP。这大约是XRP固定供应量1000亿的184倍。Veria估计，基于1.59美元的价格，面临风险的资金规模几乎相当于该代币940亿美元的总市值。

值得注意的是，开发人员未发现该漏洞曾被利用的迹象。Ripple关于此问题的报告指出，要实施该攻击，需要以现实交易者绝不会采用的方式对数百个订单进行定价。

Veria于9月22日通过XRPL漏洞赏金计划报告了该缺陷，并因其努力获得了250,000美元的奖励。

ZachXBT引用了Zcash向研究人员Taylor Hornby支付的150万美元，以此作为反对Ripple付款的理由。

Hornby披露了一个伪造漏洞，涉及Zcash的Orchard隐私池，这一缺陷使约23亿美元的ZEC面临风险，他因此获得了750,000美元的赏金以及一笔等额750,000美元的奖金拨款，该拨款由代币持有者在第三季度回溯性投票中批准，该轮次共分配了约839万美元。

ShieldedLabs执行董事JasonMcGee提交了奖金提名，他认为原始金额仅占风险资金的约0.033%，而最低先例为0.24%。他写道，更高的奖励是对协议的一种“廉价保险”。与Veria的发现类似，Hornby的发现也借助了AI技术。

该漏洞是否已修复？

RippleX（Ripple的工程团队）在Veria报告的当天确认了该漏洞。在发现该漏洞产生的XRP实际上可以被花费后，他们将其评级为严重。修复程序于9月23日合并，并于9月25日在xrpld3.4.1版本中发布。

通常，此类修复需经过修正案流程，即需要超过80%的受信任验证人在连续两周内支持该修正案，但此次补丁是在各服务器升级时生效的。

截至发布当日，默认唯一节点列表上的超过80%的验证人已经在运行该修复。

该公司的报告指出，这是十多年来首次未通过修正案系统进行的事务处理变更，原因是如果不立即修复，该漏洞将在修复发布前暴露数周。

尽管如此，推迟公开源代码的发布仍招致批评。Cyber Capital创始人Justin Bons表示，在完整3.4.1代码公布之前，XRP一直在“运行闭源代码”。

RippleX工程师Mayukha Vadari对此回应称，旧有的方式已不再适用。她解释说，关键补丁无法纳入常规公开版本中，因为攻击者会立即发现并对其进行逆向工程。