据Ripple称，XRP Ledger支付引擎中一个存在十年之久的漏洞，理论上可能使攻击者能够在网络固定的1000亿枚代币供应上限之外创建可花费的XRP。该公司表示，修复已于9月25日随xrpld 3.4.1发布——早于公开披露——且调查人员未发现该漏洞在公开网络被利用或未经授权的XRP被发行的证据。

XRP Ledger是一条去中心化区块链，其原生资产XRP自上线以来供应量固定，即任何交易都不得创建额外的代币。这正是该漏洞值得注意之处：它代表了绕过账本最基本货币规则的一种潜在途径。

此次披露引发了诸多疑问和一些误解，XRP Ledger基金会在X上的一则帖子中直接予以回应：

最近的XRP Ledger安全修复引发了许多问题和一些误解。让我们来澄清一下。

1. 是否创建了任何XRP？

没有。XRP的供应量在XRP Ledger上线时即固定为1000亿，任何交易都不允许创建更多。此漏洞是一种绕过方式……

— XRP Ledger Foundation (@XRPLF) 2026年10月11日

这一区别很重要：该漏洞威胁的是账本的供应规则，但现有证据并未表明XRP的上限实际被突破。

RippleX工程高级总监J. Ayo Akinyele表示："该漏洞在代码库中已存在十余年，本可能导致在固定供应量之外创建XRP。"

支付漏洞何以威胁XRP供应？

该漏洞位于支付引擎中，即当交易通过XRP Ledger内置交易所的挂单进行撮合时计算金额的组件。在特殊构造的条件下，算术运算可能发生溢出：计算不是返回挂单应付的真实总额，而是发生回绕并产生一个小得多的数字。溢出漏洞是一类早有记录的软件缺陷，当计算结果超出其数值类型所能存储的最大值时就会发生。

这种不匹配使卖方有可能收到多于买方所支付金额的XRP。账本的供应上限是在创世时全部1000亿枚XRP创建时设定的；与工作量证明网络不同，验证节点在处理交易时不会挖出新的XRP。因此，一个可能使额外XRP变为可花费的漏洞，冲击的是一条基本的货币规则，而非单个账户。

RippleX表示，开发人员对补丁进行了测试，并在问题公开披露前与网络运营方协调了升级。在公告发布之前推出修复符合标准的协同披露惯例，即在漏洞细节广为人知之前给运营方留出升级时间。该修复包含在xrpld 3.4.1中，这是处理交易并维护账本记录的服务器软件。XRP Ledger基金会的漏洞披露报告详细说明了支付引擎的溢出问题及其修复措施。

这种快速的软件推送不同于账本的修正案流程，验证节点通过后者激活协议规则的变更。此前XRPL修正案的激活表明，验证节点的支持可以决定协议变更何时生效；而供应漏洞的修复则只是随着服务器升级到已修复版本而生效。

此事对XRP持有者意味着什么？

Akinyele于10月10日在X上的一则帖子中概述了RippleX的应对措施：

安全始终是维护XRP Ledger（XRPL）信任的重中之重。在昨日披露Veria AI报告的关键支付引擎漏洞之后，我分享几点想法。

首先，这是一个严重的漏洞，我们对此绝不掉以轻心。……

— J. Ayo Akinyele (@ja_akinyele) 2026年10月10日

所记录的风险是可能创建未经授权、可花费的XRP——而非已确认的用户资金损失。调查人员未发现在公开网络被利用的证据，且原始披露并未证实有任何资金损失。正确的理解是：这是一个已被修复的严重漏洞，而不是已确认供应突破。

该漏洞存在的时间之长仍然值得注意。一个存在于核心支付路径中的缺陷在代码库中存留了十余年，而本应防范XRP被创建的安全检查也未能发现同样的算术问题。用交易术语来说，该漏洞暴露了一条本应像断路器一样发挥作用的规则中的盲区。

与XRP相关的安全事件也可能涉及截然不同的系统。例如，钱包或服务被入侵与账本交易规则中的缺陷并非一回事，XRP相关的医疗保健黑客事件这一单独案例就说明了这种区别。

该漏洞由Veria AI报告，该公司通过XRPL漏洞赏金计划协助发现了这一问题，此前的10月9日（周五）为披露日。漏洞赏金计划是区块链行业从外部研究人员处获取安全审查的常见机制，研究人员私下报告漏洞，以便修复率先推出。Akinyele补充道："AI正在从根本上改变发现漏洞的速度。"

由于修复是通过软件发布而非协议修正案到达网络的，接下来的实际指标是运营层面的：服务器运营方采用已修复的xrpld 3.4.1版本，以及基金会披露报告中的进一步技术细节。

来源：99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure