根據 Ripple 的說法，XRP Ledger 支付引擎中一個存在十年的漏洞，在理論上可讓攻擊者創造超過網路固定 1,000 億枚代幣供應上限、且可動用的 XRP。該公司表示，修補程式已於 9 月 25 日隨 xrpld 3.4.1 發布——早於公開揭露——且調查人員未發現該漏洞在公共網路上被利用或未經授權的 XRP 被發行的證據。

XRP Ledger 是一條去中心化區塊鏈，其原生資產 XRP 自推出以來供應量固定，亦即任何交易都不得創造額外代幣。這正是此漏洞值得關注之處：它代表了繞過帳本最基本貨幣規則的潛在途徑。

此次揭露引發了許多問題和一些誤解，XRP Ledger 基金會在 X 上發文直接澄清：

The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let's clear them up.

1. Was any XRP created?

No. XRP's supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around…

— XRP Ledger Foundation (@XRPLF) 2026年10月11日

這項區別至關重要：該漏洞威脅的是帳本的供應規則，但現有證據並未顯示 XRP 的上限實際上遭到突破。

RippleX 工程資深總監 J. Ayo Akinyele 表示：「此漏洞在程式碼庫中存在已超過十年，原可讓 XRP 被創造至超出其固定供應量。」

一個支付漏洞如何威脅 XRP 供應？

該缺陷位於支付引擎中，即當交易透過 XRP Ledger 內建交易所的報價成交時計算金額的元件。在特別建構的條件下，算術運算可能溢位：計算結果不再回傳各報價實際應付的總額，而是環繞溢位並產生一個小得多的數字。溢位錯誤是長期以來有充分紀錄的一類軟體缺陷，發生於計算結果超出其數值型別所能儲存的最大值時。

這種不一致造成賣方可能收到多於買方支付金額的 XRP。帳本的供應上限是在創世時全部 1,000 億枚 XRP 被創造時設定的；與工作量證明網路不同，驗證者在處理交易時並不會挖掘新的 XRP。因此，一個可能使額外 XRP 變為可動用的缺陷，打擊的是一項基本貨幣規則，而非單一帳戶。

RippleX 表示，開發人員在問題公開揭露之前已測試修補程式，並與網路營運者協調升級。在公告之前發布修補程式符合標準的協調揭露慣例，讓營運者有時間在漏洞細節廣為人知之前完成升級。修補程式包含在 xrpld 3.4.1 中，這是處理交易並維護帳本紀錄的伺服器軟體。XRP Ledger 基金會的漏洞揭露報告詳述了支付引擎的溢位問題及其修復方式。

這種快速的軟體發布不同於帳本的修正案流程，後者是驗證者用來啟用協定規則變更的機制。過往 XRPL 修正案的啟用顯示，驗證者的支持可決定協定變更何時生效；而這次供應漏洞的修補則是隨著伺服器升級至修補版本而直接生效。

此事件對 XRP 持有者意味著什麼？

Akinyele 於 10 月 10 日在 X 上發文說明 RippleX 的應變措施：

Security remains our top priority for preserving trust in the XRP Ledger (XRPL). Sharing a few thoughts following yesterday's disclosure of the critical payments engine vulnerability reported by Veria AI.

First, this was a serious vulnerability, and we don't take that lightly.…

— J. Ayo Akinyele (@ja_akinyele) 2026年10月10日

文件所載的風險是可能創造未經授權且可動用的 XRP——並非已確認的使用者資金損失。調查人員未發現在公共網路上被利用的證據，原始揭露文件也未能確立有任何資金損失。正確的解讀是：這是一個已被修補的嚴重漏洞，而非已確認的供應突破。

該漏洞存在之久仍具意義。一個位於核心支付路徑的缺陷在程式碼庫中存留超過十年，而一個本應防範 XRP 被創造的安全檢查機制卻未能察覺同樣的算術問題。以交易術語來說，該漏洞暴露了一條本應如同斷路器般發揮作用的規則中的盲點。

與 XRP 相關的安全事件也可能涉及截然不同的系統。例如，錢包或服務遭入侵，與帳本交易規則中的缺陷並不相同，XRP 相關的醫療機構遭駭事件即清楚說明了這一區別。

該漏洞由 Veria AI 回報，該公司透過 XRPL 漏洞賞金計畫協助發現此問題；此前於 10 月 9 日星期五進行揭露。漏洞賞金計畫是區塊鏈產業中常見的機制，用於向外部研究者徵集安全審查，研究者私下回報缺陷，使修補程式得以先行發布。Akinyele 補充：「AI 正從根本上改變漏洞被發現的速度。」

由於修補是透過軟體版本而非協定修正案抵達網路，後續的實際指標屬於營運層面：伺服器營運者採用已修補的 xrpld 3.4.1 版本，以及基金會揭露報告中的任何進一步技術細節。

來源：99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure