XRP Ledger 绕过常规投票修复无限 XRP 漏洞

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

XRP Ledger 紧急安全补丁绕过常规投票流程引发讨论

XRP Ledger (XRPL) 的开发团队为其发布的紧急安全补丁进行了辩护，该补丁跳过了网络标准的验证者投票程序。9月25日发布的这一修复方案关闭了一个潜在漏洞，攻击者原本可能利用此漏洞在代币固定供应量之外创建可花费的 $XRP。

据 XRPL 基金会称，跳过正常流程的决定是由开发人员、RippleX (@RippleXDev) 以及验证者共同做出的。RippleX 表示，在公共网络上未发现任何被利用的证据。

为何补丁跳过两周投票期

据报道，XRPL 开发人员指出，如果不立即行动，等待通常为期两周的验证者投票将使漏洞暴露在攻击者面前。该修复方案在收到漏洞赏金报告后三天内发布，并立即对安装了该补丁的任何服务器生效。开发人员将其描述为该系统引入十多年以来，首次有意绕过正常修正案流程的情况。

根据常规流程，规则变更通常需要获得超过 80% 可信验证者的支持并持续两周才能生效。XRPL 开发人员在 X 平台发帖辩称，正常的修正案投票会使修复方案在生效前公开数周，从而危及网络安全。

漏洞详情与修复方式

该漏洞源于账本支付引擎中的整数溢出问题。据报道，攻击者可以在多个账户中放置涉及异常大量 XRP 的报价单，然后通过一笔精心构造的付款来消耗这些报价。由于总和超过了计数器所能容纳的范围并发生回绕（wrap around），导致数值变为更小的数字，从而使卖家全额收款，而买家支付的金额远低于预期。

据悉，该问题最早可追溯至 2015 年。研究人员 Cayden Liao 和 Veria AI 于 9 月 22 日通过 XRPL 漏洞赏金计划报告了此问题。RippleX 工程师在本地独立服务器上复现了该漏洞，并确认新创建的 XRP 确实可以被花费。修复代码包含在 xrpld 3.4.1 版本中。

更新普及速度很快。截至发布日，超过 80% 的默认 UNL（唯一节点列表）验证者已运行该更新，并于 10 月 9 日进行了公开披露。

外界反应与回应

此举也招致了一些批评。Cyber Capital 创始人 Justin Bons 认为，此次发布仅提供了二进制文件，并对运营商施加了升级压力。对此，基金会回应称，没有任何单一方可以独自做出决定，每个验证者和节点运营商都有权选择运行何种软件。