XRP Ledger 已修复一个严重安全漏洞，该漏洞原本可让攻击者铸造多达 18 万亿枚 XRP——远超该网络的固定供应量。发现这一十年老漏洞的安全研究员 Cayden Liao 获得了 25 万美元赏金，RippleX 和 XRP Ledger Foundation 的开发人员在通过一份官方披露报告公开披露该漏洞之前，已先行确保了网络的安全。

溢出漏洞威胁 XRP 的固定供应

该漏洞存在于账本的支付引擎中，属于溢出漏洞——一类常见的软件缺陷，即计算结果超出其数据字段所能容纳的最大值，从而产生意外结果。据 Liao 称，一笔经过特殊构造的交易原本可以生成超出固定供应量的可花费 XRP，从而危及网络的金融完整性。

XRP Ledger 于 2012 年上线，供应上限为 1000 亿枚 XRP。与许多其他加密货币不同，XRP 无法在该网络上挖矿或质押，而且每笔交易都会因手续费而永久销毁少量 XRP——这一机制在缓慢减少流通中的 XRP 数量。新披露的漏洞原本可能绕过这一供应限制。

Liao 表示，他的团队开发了一个概念验证，能够通过单笔交易生成约 18 万亿枚 XRP，约为该网络初始供应量的 184 倍。鉴于 XRP 的市值约为 940 亿美元，一旦攻击成功，可能会损害市场对这一资产乃至整个市场的信任。不过开发人员表示，未发现有任何攻击者在公共网络上利用过该漏洞。

紧急补丁与协调披露

该漏洞于 2026 年 9 月 22 日通过 XRPL 漏洞赏金计划上报。开发人员于 9 月 25 日在 xrpld 3.4.1 版本中发布了补丁，披露报告指出，超过 80% 的默认验证节点在当天就完成了软件升级。

值得注意的是，开发人员跳过了标准的为期两周的验证节点修正案投票，转而采用紧急流程，这使他们能够在不向公众透露技术细节的情况下应对这一威胁。这一做法体现了软件行业普遍采用的协调披露惯例，即在细节公开之前先行发布并部署修复程序，从而缩小潜在攻击者利用相关信息采取行动的时间窗口。在网络得到保障后，协调披露于 10 月 9 日进行。Liao 在一份X 上的帖子中公布了这一发现及赏金。

这一事件还表明，即使经过广泛审查的软件仍可能存在严重缺陷。问题代码可追溯至 2015 年，该漏洞利用依赖于两个漏洞的组合，而单独来看，这些缺陷在此前的审查中可能显得威胁不大——这是安全研究中常见的一种模式，即单独看似轻微的缺陷在组合后可能产生叠加效应。Liao 的团队获得了该计划的最高奖金 25 万美元，这位研究员称这一发现是“异常重大的安全发现”。不过，所声称的概念验证只是一次攻击演示，并未造成实际损害。

无被利用的证据

过去几年间，XRP Ledger 经历了多次审计和安全挑战，披露报告指出，该网络已发放超过 100 万美元的漏洞赏金。此类计划鼓励研究人员负责任地上报漏洞，而不是任由其被攻击者利用——这种激励机制如今在区块链行业已十分普遍。

这一事件提醒人们，区块链网络及时进行软件更新至关重要。验证节点至关重要，因为其软件保障着账本的正常运行与安全，在出现严重漏洞时迅速升级可以将风险敞口降至最低。9 月 25 日补丁发布当天即有超过 80% 的默认验证节点完成升级，正体现了这一机制的实效。

尽管这一潜在漏洞的严重性很高，但没有任何未经授权铸造 XRP 的报告，开发人员也未发现任何公共网络用户因该漏洞而损失资金的证据。因此，一个重大的理论性威胁在未对公共网络造成任何事故的情况下被消除。