XRP Ledger 漏洞有憑空創造代幣的風險

根據週五發布的安全報告，XRP Ledger 的支付引擎中的一個漏洞可能使攻擊者能夠憑空生成可花費的 XRP。該漏洞可能自2015年以來一直存在而未被發現。

XRP 的最大供應量固定為 1000 億枚，目前以 1.41 美元的價格計算，總價值約為 888 億美元。Ripple 的開發部門 RippleX 表示，未發現該漏洞被利用的證據。

單筆交易如何可能鑄造新的 XRP

在 XRP Ledger 中，有一個整合的市場，允許帳戶發布用一種代幣兌換另一種代幣的報價。

根據報告，攻擊者可以創建數百個帳戶。每個帳戶都會發布一個以極少量代幣換取大量 XRP 的報價。

然後，一筆付款可以同時購買所有報價。軟體的累計總額會超過其計數器的容量，使其重置為一個非常小的數字，類似於里程表超過最大讀數。

賣方帳戶收到全額付款，而買方幾乎沒有花費任何東西。旨在檢測新創建 XRP 的驗證檢查依賴相同的計數器，因此也未能注意到差異。

該漏洞由研究人員 Cayden Liao 和 Veria AI 透過 XRPL 漏洞獎勵計畫於 9 月 22 日報告。

官方 XRPL 漏洞揭露報告於 2026 年 10 月 9 日發布。

發生什麼事

一名研究人員（Cayden Liao 和 Veria AI）於 2026 年 9 月 22 日透過 XRPL 漏洞獎勵計畫報告了支付引擎中的一個整數溢位錯誤。它影響了 xrpld 3.4.0 及更早版本……

— MartyParty (@martypartymusic) 2026年10月10日

Ripple 跳過 XRP Ledger 驗證者投票的原因

通常，對 XRP Ledger 規則的修改需要超過 80% 的可信驗證者（即驗證交易的伺服器）批准，為期兩週。

該修補程式包含在 9 月 25 日發布的伺服器軟體版本 3.4.1 中，在每個營運商更新其系統的那一刻生效。

「這是自十多年前引入修正制度以來，首次刻意以這種方式發布交易處理的變更。」RippleX 表示。

據 RippleX 表示，公開投票會在數週內在開放原始碼中暴露該漏洞，期間漏洞仍可被利用。超過 80% 的預設驗證者在發布當天更新了軟體，此時修補程式的程式碼尚未公開。

該揭露發布於 Cyber Capital 創辦人 Justin Bons 與 Ripple 的 David Schwartz 進行 XRP 去中心化辯論 的翌日，他將出售 XRP 作為去中心化的做法描述為「欺詐」。報告指出，XRPL 基金會、RippleX 和驗證者共同做出了這個決定。

RippleX 表示，投票將繼續作為未來修改的標準流程。