XRPL 11年漏洞曝光：关键整数溢出威胁XRP供应安全

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

10月9日，XRPL官方披露了一项长期存在的安全缺陷，该漏洞可能通过复杂构造的交易被利用，对XRP的总供应量构成潜在威胁。尽管目前尚未在公共网络中发现实际滥用案例，但其技术风险引发广泛关注。

问题根源在于支付引擎中的整数溢出机制。当一笔交易消耗数百个精心设计的挂单时，系统未能正确处理数值上限，导致计算结果“回绕”为较小值。这使得收款方获得全额付款，而发送方仅被扣除错误金额，相当于变相创造了额外的XRP，突破了加密货币固有的供应上限。

更严重的是，这一漏洞影响了账本中用于防止非法发行XRP的核心保护逻辑，意味着异常生成的代币可能逃过检测，进入流通环节。

紧急修复与快速部署

该漏洞由研究人员Cayden Liao与Veria AI于9月22日通过XRPL漏洞赏金计划提交。开发团队最初评估为重大风险，后将其定级为“关键”级别。

9月25日，xrpld 3.4.1版本发布，引入更强的溢出校验机制，并强化供应控制逻辑。不同于常规协议更新需经多数验证器批准并等待两周，此次补丁采用即时生效策略——只要验证器完成软件升级即可立即生效，以避免在修复前暴露于风险之中。

截至9月25日，超过80%的默认可信验证器已完成升级，确保了网络整体安全性。

对持币者的影响与深层反思

尽管漏洞存在长达十余年，但专家指出，其利用门槛极高，必须依赖特定场景下的批量挂单构造，而非普通转账行为，因此实际风险有限。

10月9日的报告还揭示另一相关漏洞：批量交易（Batch transaction）机制存在共识干扰风险。该问题已通过fixBatchV1_2修正案解决，与此前的BatchV1_1同步激活。

此次事件再次引发关于XRPL治理效率的讨论，尤其是在面对紧急安全事件时，如何平衡快速响应与去中心化决策流程，成为社区持续关注的焦点。