XRP Ledger 已修復一個嚴重的安全漏洞，該漏洞原本可能讓攻擊者創造多達 18 兆枚 XRP，遠超過該網路的固定供應量。發現這個存在十年之久的漏洞的安全研究員 Cayden Liao 獲得了 25 萬美元的賞金，而 RippleX 與 XRP Ledger Foundation 的開發人員在透過官方揭露報告公開揭露該漏洞之前，已先確保了網路的安全。

溢位漏洞威脅 XRP 的固定供應量

該漏洞位於帳本支付引擎中，屬於溢位漏洞，這是一類常見的軟體缺陷，即計算結果超出其資料欄位所能容納的最大值，從而產生非預期的結果。據 Liao 表示，一筆經過特殊構造的交易原本可能生成超出固定供應量的可花費 XRP，使網路的金融完整性面臨風險。

XRP Ledger 於 2012 年上線，供應上限為 1,000 億枚 XRP。與許多其他加密貨幣不同，XRP 無法在網路上挖礦或質押，且每筆交易中都會有少量 XRP 作為手續費被永久銷毀，這一機制持續緩慢地減少流通中的 XRP 數量。此次新揭露的漏洞原本可能突破這一供應限制。

Liao 表示，他的團隊開發了一個概念驗證，能夠透過單一交易生成約 18 兆枚 XRP，約為該網路初始供應量的 184 倍。由於 XRP 的市值約為 940 億美元，一旦攻擊成功，可能會損害市場對該資產以及整體市場的信任。不過，開發人員表示，並未發現有任何攻擊者在公共網路上利用該漏洞。

緊急修補與協調揭露

該漏洞於 2026 年 9 月 22 日透過 XRPL 漏洞賞金計畫回報。開發人員於 9 月 25 日在 xrpld 3.4.1 版本中發布了修補程式，揭露報告指出，超過 80% 的預設驗證節點在當天即升級了其軟體。

值得注意的是，開發人員跳過了標準的兩週驗證節點修正案投票，改採緊急程序，使他們得以在未向公眾揭露技術細節的情況下處理這一威脅。這種做法體現了軟體產業常見的協調揭露實務，即在細節公開之前先發布並部署修復程式，從而縮短潛在攻擊者利用相關資訊行動的窗口期。在網路確保安全後，協調揭露於 10 月 9 日進行。Liao 在一則X 貼文中公開了這項發現與獎金。

這次事件也表明，即使經過廣泛審查的軟體，仍可能存在嚴重的弱點。有缺陷的程式碼可追溯至 2015 年，而該攻擊手法依賴於兩個漏洞的組合，這兩個漏洞單獨來看在先前的審查中可能顯得脅較小，這是安全研究中常見的模式：看似輕微的缺陷在組合時可能產生疊加效應。Liao 的團隊獲得了該計畫最高 25 萬美元的獎金，這位研究員稱這項發現是「異常重大的安全發現」。不過，所宣稱的概念驗證是一場攻擊示範，而非造成實際損害的攻擊行為。

無任何被利用的證據

過去幾年，XRP Ledger 經歷了多次審計與安全挑戰，揭露報告指出，該網路已發放超過 100 萬美元的漏洞賞金。此類計畫鼓勵研究人員以負責任的方式回報漏洞，而不是任由攻擊者利用——這種激勵模式如今在區塊鏈產業已相當普遍。

這起事件提醒人們區塊鏈網路及時更新軟體的重要性。驗證節點至關重要，因為其軟體維持著帳本的正常運作與安全，而在出現關鍵漏洞時及時升級可以將風險降至最低。超過 80% 的預設驗證節點在 9 月 25 日修補程式發布當天即完成升級，正體現了這種動態。

儘管該潛在攻擊手法嚴重，但並未有任何未經授權創造 XRP 的報告，開發人員也未發現任何公共網路使用者因此漏洞而損失資金的證據。因此，一個重大的理論性威脅在未對公共網路造成任何事故的情況下被消除。