XRP Ledger 修复关键整数溢出漏洞 供应上限仍受保护

10月9日，XRP Ledger（XRPL）披露其支付引擎中存在一个严重整数溢出漏洞。该缺陷在特定交易条件下可能引发代币超额生成，威胁2012年设定的1000亿枚XRP供应上限。

漏洞本质与潜在风险

漏洞位于支付处理逻辑中，当一笔交易同时消耗大量挂单时，系统使用64位整数计算应付金额，却未实施溢出校验。若总金额超过最大值，数值将回绕至极小值，导致买方仅支付微量，而卖方获得全额结算——相当于凭空创造新XRP。

原本应由账本“无新XRP生成”不变量和账户余额限制双重防护，但攻击者通过分散资金至数百个账户，成功规避了这两道防线。

快速响应与修复策略

该漏洞于9月22日由研究员Cayden Liao及Veria AI通过漏洞赏金计划报告。RippleX工程师在测试环境中复现攻击并确认其有效性，随即将其评级从“重大”提升至“关键”。

为防止漏洞在公开披露前被利用，RippleX首次跳过常规“修订”流程，直接发布xrpld 3.4.1补丁。由于代码在主网部署前已更新，且正常交易不会触发该路径，网络兼容性风险可控。

截至发布当日，超过80%的默认可信验证节点已完成升级，远超安全阈值。

对固定供应机制的深远影响

XRP的核心价值之一在于其供应量可证明有限。所有1000亿枚代币均在账本启动时创建，这一特性是机构采用的重要依据。

尽管该漏洞自2015年起就存在于代码中，但官方表示从未发现实际攻击行为。此次事件再次凸显区块链协议在设计阶段即需考虑极端情况下的安全性。

同一版本还修复了另一个批量交易验证缺陷，已于10月9日在主网激活。RippleX承诺未来将在发布流程中增加重新验证环节，确保所有已标记修复的安全问题在候选阶段接受充分测试。

随着XRP Ledger持续拓展银行级功能与稳定币权限管理，此类安全事件的高效处置进一步强化了市场信心。