XRP账本漏洞可能凭空创建代币

根据周五发布的一份安全报告，XRP账本支付引擎中的一个漏洞本可使攻击者凭空生成可花费的XRP。该漏洞可能自2015年以来一直存在而未被发现。

XRP的最大供应量固定为1000亿枚，目前价值约888亿美元，价格为1.41美元。Ripple的开发部门RippleX表示，未发现该漏洞被利用的证据。

单笔交易如何凭空铸造新XRP

在XRP账本中，有一个集成市场允许账户发布兑换代币的报价。

根据报告，攻击者能够创建数百个账户。每个账户将提供极小量的代币以换取大量XRP。

然后一笔付款可以同时购买所有报价。软件的累计总数将超过其计数器的容量，导致其重置为一个非常小的数字，类似于里程表超过最大读数。

卖出账户收到全额付款，而买家几乎未花费任何东西。旨在检测新创建XRP的验证检查依赖于同一个计数器，因此也未能注意到差异。

研究人员Cayden Liao和Veria AI于9月22日通过XRPL漏洞赏金计划报告了该漏洞。

2026年10月9日发布的官方XRPL漏洞披露报告。

发生了什么

一名研究人员（Cayden Liao和Veria AI）于2026年9月22日通过XRPL漏洞赏金计划报告了支付引擎中的一个整数溢出漏洞。它影响了xrpld 3.4.0及更早版本…

— MartyParty (@martypartymusic) 2026年10月10日

Ripple跳过XRP账本验证者投票的原因

通常，对XRP账本规则的修改需要获得超过80%的可信验证者（即验证交易的服务器）在两周内的批准。

该补丁包含在9月25日发布的服务器软件3.4.1版本中，在每位运营商更新其系统的那一刻生效。

“这是自十多年前引入修正系统以来，交易处理变更首次有意以这种方式发布，”RippleX表示。

据RippleX称，公开投票会在数周内暴露开源代码中的漏洞，在此期间该漏洞仍可被利用。超过80%的默认验证者在发布当天（补丁代码公开之前）更新了他们的软件。

该披露发生在Cyber Capital创始人Justin Bons在与Ripple的David Schwartz进行XRP去中心化辩论中将出售XRP描述为去中心化的做法称为“欺诈”一天后。报告称，XRPL基金会、RippleX和验证者共同做出了这一决定。

RippleX表示，投票将继续成为未来修改的标准流程。