挖出 XRP 無限印幣漏洞僅賞白帽 25 萬鎂，ZachXBT 痛批：如此寒酸，難怪沒人當你是個咖

ZachXBT 痛批 XRP Ledger 僅以 25 萬美元打發通報無限印幣漏洞的白帽，形同鼓勵下一個發現者直接動手偷。XRPL 基金會承諾強化賞金計畫，但沒給金額與時程。
（前情提要：XRPL 驚爆潛伏十年的「憑空印幣」漏洞！官方破例跳過修正案緊急修補）
（背景補充：揪出Zcash四年漏洞的工程師：門羅幣（XMR）也要審計）

本文目錄

鏈上偵探 ZachXBT 稍早對 XRP Ledger（XRPL）開出重砲：金庫裡有數十億，卻拿 25 萬美元打發通報無限印 XRP 重大漏洞的白帽，等於告訴下一個發現者，偷比報划算。他在 10 月 12 日狂酸，謝謝你們「確保下一次攻擊者會拿它撈走九位數，而不是善意通報」。

他接著寫道：

「這就是人們不把 XRPL 或 Ripple 當成嚴肅組織的原因」。

Cheaply paying the whitehat $250K for a critical infinite XRP supply bug when your treasury has billions?

Thanks for helping ensure the next time an attacker exploits it for 9 figures instead of reporting it in good faith.

This is why people do not take XRPL or Ripple…

— ZachXBT (@zachxbt) October 12, 2026

25 萬美元僅是計畫上限

漏洞本身動區 10 月 11 日已報導。Veria Labs 在官方部落格指出，其 AI 代理找到漏洞並自行串成可用攻擊，單筆交易可印出約 18.45 兆枚 XRP，是 1,000 億枚總量的 184 倍，且可重複執行。XRPL 官方漏洞揭露報告表示，這是 2015 年就存在的支付引擎整數溢位，未見公開網路遭利用跡象。

Veria 以當時市值估算，暴露在風險中的價值達 940 億美元，是 Bybit 駭案（15 億美元）的 60 倍以上。時間軸如下：

9 月 21 日：AI 找到漏洞；22 日通報並獲確認
9 月 25 日：緊急版本發布，超過 80% 驗證者升級
10 月 8 日：Veria 獲發計畫上限的 25 萬美元

Zcash 與業界的賞金行情

ZachXBT 12 分鐘後追加貼文，回應說他討厭 XRP 的網友。他寫道，自己受夠了「資金雄厚的組織坑白帽資安研究員」的噁心風氣，這份通報對 Cayden Liao 與 Veria Labs 而言「至少該是七位數的報酬」，並點名 Zcash 是例外，給了 Taylor Hornby 七位數美元，酬謝他通報 Orchard 偽造鑄幣漏洞。

根據 Immunefi 公開的賞金紀錄顯示，此前 Wormhole 1,000 萬美元、Aurora 600 萬美元、Polygon 220 萬美元；2022 年可無限增發 ETH 的 Optimism 漏洞約 200 萬美元，都是這次 XRPL 賞金的數倍。

白帽沒抱怨，擁護者反嗆

不過當事人自己並不喊冤。Veria 在部落格感謝 XRPL 團隊反應迅速，全文沒抱怨金額，還稱就其所知，這是「完全由 AI 代理發現的漏洞」拿過的最高賞金，拿來當成績宣傳。XRP 擁護者也反駁：上限本來就是 25 萬美元，對方通報、領走上限、做了對的事，是 ZachXBT 自己在生氣；還有人直說他就是討厭 XRP。

XRPL 基金會在開砲前約 11 小時發文表示，沒有任何 XRP 被憑空創造，一般支付碰不到這個漏洞，並將採用形式化驗證與 AI 對抗測試、「強化漏洞賞金計畫」。但全文沒提賞金金額，強化計畫也沒給金額與時程。

自介為基金會貢獻者的 Vet 隨後回覆 ZachXBT：「在誘因結構上我們看法一致」，並說過去曾在賞金計畫之外，與賞金獵人簽過商業合約。他另在回覆其他網友時寫道，誘因結構得跟風險價值保持相稱，最終要挺白帽，「那比對付 Lazarus 好太多了（北韓駭客組織）」。不過他也沒說這次會不會對 Veria 追加報酬。