XRP 账本惊现致命漏洞：AI 发现无限铸造风险，紧急补丁三天上线

自2015年起，XRP账本（XRPL）的支付系统中潜藏一个潜在致命缺陷。据开发者披露，该漏洞可能曾突破1000亿枚的供应上限，使攻击者具备伪造可流通XRP的能力。

漏洞发现与快速响应

9月22日，一位研究人员借助漏洞赏金计划，使用AI安全工具识别出该问题。仅三天后，RippleX团队于9月25日发布xrpld版本3.4.1补丁，更新覆盖超过80%的可信验证节点。这一修复跳过了过去十余年一贯的修正案投票机制，成为历史上首次紧急强制更新。

漏洞原理解析

该缺陷位于支付引擎核心逻辑中。当一笔交易同时触发多个订单簿报价时，系统采用未经验证的64位整数运算计算买方应付总额。若存在大量故意设置错误价格的报价，总金额可能发生数值回绕，导致买方几乎无需付款，而卖方获得全额结算。由于新代币创建的安全校验使用相同算术逻辑，整个过程无法被察觉，从而实现无成本生成伪造资产。

AI助力发现高危组合漏洞

Veria Labs联合创始人Cayden Liao表示，其开发的AI智能体不仅定位了漏洞，还成功构建了可执行的利用脚本。估算显示，单笔交易或可生成约18万亿枚XRP。Liao指出，该漏洞之所以长期未被发现，是因为它由两个看似低风险的问题叠加而成，形成复合型攻击路径。

Ripple向该团队支付了最高额度的25万美元赏金，以表彰其贡献。RippleX工程负责人J. Ayo Akinyele强调，未来将加大投入于AI辅助漏洞探测和形式化验证技术，认为人工智能正在重塑安全审计效率。

历史对比与行业警示

此次事件与2010年比特币早期发生的类似溢出漏洞相似——当时一次交易生成超1840亿枚BTC，随后通过链分叉清除非法代币。今年Zcash也因相同类型漏洞引发市场恐慌，导致价格剧烈波动。当前XRPL的快速响应机制，被视为对关键基础设施安全防护的重要范例。