XRP Ledger 基金會詳述重大供應漏洞的緊急修復措施
重點速覽
- •XRP Ledger 基金會表示，沒有 XRP 因該漏洞被創造，且沒有發現漏洞曾在公開網路上遭到利用的證據。
- •漏洞利用需要數百個精心構造的操作，一般支付交易不會接近觸發該漏洞。
- •3.4.1 版本在公開二進位檔於 9 月 25 日發布前，已直接提供給 default-UNL 驗證者；這是修正案系統推出十多年來首次有意直接變更交易處理方式。
- •相較於固定的 100 billion XRP 供應量，目前約有 99.986 billion XRP 存在；基金會表示所有餘額均公開可見，任何人都能獨立驗證相關數據。
- •節點營運者應運行 xrpld 3.4.1 或更新版本；XRP 持有者則未被要求轉移資金或更換錢包。
XRP Ledger 基金會說明了開發者與驗證者如何應對一項漏洞。該漏洞可能讓攻擊者透過精心構造的支付交易建立可使用的 XRP。基金會表示，沒有 XRP 因此漏洞被創造，也沒有證據顯示該漏洞曾在公開網路上遭到利用。
10 月 11 日的聲明聚焦於應對措施，而不是重複漏洞的技術細節。此前對該漏洞的說明可參閱 Coindoo 的報導。基金會的技術披露報告可在 XRP Ledger 網站查閱。
公開帳本資料支持供應量說法
XRP 啟動時的供應量固定為 100 billion，交易費用會隨時間銷毀。基金會表示，目前約有 99.986 billion XRP 存在。
技術披露報告表示，團隊沒有發現該漏洞曾在公開網路上遭到利用的證據。這項說法可以透過 XRP Ledger 已驗證的交易歷史與帳戶餘額進行檢視；相關資料可透過區塊鏈瀏覽器及其他資料服務公開取得，供外界獨立查核。
基金會寫道：「You don’t need to trust us on this,」新建立的 XRP 會出現在帳戶餘額中，因為 XRP Ledger 不存在隱藏的餘額區域。基金會表示，其持續監控帳本，並已驗證整個網路歷史期間的供應量；社群中的其他成員也進行了自己的查核。
公開紀錄無法揭示披露前的每一次私人對話，也無法確定一項從未提交至網路的攻擊背後意圖。不過，公開紀錄可以顯示已驗證的交易、可見的餘額變化及記錄中的供應量。這些資訊足以對「大量 XRP 被秘密鑄造並隱藏在網路上」的說法提出質疑。
為何修復程式在技術披露前發布
按照 XRP Ledger 的標準治理流程，交易規則的變更會透過修正案提出。驗證者必須在兩週內維持超過 80% 的支持率，修正案才會啟用。這套流程讓營運者有時間升級，並確保網路在同一時間採用變更。
由於該漏洞被視為正在發生的風險，溢位修復採用了不同的路徑。根據披露報告，在較舊的伺服器尚未受到保護前，發布揭露確切漏洞的程式碼，可能會讓攻擊路徑更容易被辨識。因此，3.4.1 版本在各伺服器升級時逐一套用保護措施，而不是等待正常的公開修正案流程。
基金會在一則 X 貼文中概述了其說明：
The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let’s clear them up.
- Was any XRP created?
No. XRP’s supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around that rule, and 3.4.1 fixed it 2 weeks ago.
You don’t need to trust us on this. All ledger data is public, and explorers and data sites read it every day. New XRP would show up in account balances for everyone to see. There is no hidden place for XRP on the XRP Ledger, every balance is public.
We monitor the XRP Ledger 24/7 and have verified the supply throughout the history of the ledger. Others in the community verified this too, and anyone can do the same.
Transaction fees are destroyed, so the supply is deflationary. About 99.986 billion XRP exist today.
- How did this go unnoticed, and what’s next?
No normal payment comes anywhere near triggering it. It took hundreds of deliberately constructed operations.
AI makes bugs like this faster to find, for the bad guys and the good guys.
Together with RippleX and the community, we will ensure the XRP Ledger is protected against such vulnerabilities. This means radically applying Formal Verification and AI adversarial testing, collaborating closely with security researchers, and strengthening the bug bounty program.
You’ll hear a lot more about this as we progress.
- XRP Ledger decentralization at the core of this.
A public fix shows attackers where the bug is, and AI makes that fast. With a normal amendment vote, the fix would have been public for weeks before it took effect, risking network security.
As a reaction to this, the XRPL community came together, and among them the XRP Ledger Foundation, RippleX, core devs and validators formed a social consensus and agreed on a path forward that involves shipping the fix directly. Patching a live network is never trivial, so the plan was also designed to minimize disruption for everyone running on it.
We shared the build with the default UNL validators, using the contact details each one publishes in its xrp-ledger.toml file. Public binaries followed the same day, September 25.
No single party could make that call alone. Every validator and node operator chooses what software to run, and 3.4.1 only became required through a normal amendment vote with more than 80% validator support for two weeks. Protocol changes still go through amendments.
Big thanks to Cayden Liao and Veria AI for finding and reporting this responsibly, to the XRPL core developers for building and testing the fix, and to every node operator who upgraded so quickly, especially the validators.
Full report:
— XRP Ledger Foundation (@XRPLF) October 11, 2026
基金會將這次直接發布軟體描述為特殊應對措施，而非取代一般治理流程。報告表示，這是自修正案系統在十多年前推出以來，首次有意直接變更交易處理方式。基金會表示，未來的協議變更仍將要求獲得驗證者支持的修正案。
驗證者仍保有是否安裝軟體的決定權
基金會表示，在 9 月 25 日發布公開二進位檔之前，已將修補版本提供給 default-UNL 驗證者的營運者。這些營運者自行決定是否運行新版本。基金會與 RippleX 均無法強制獨立運作的伺服器升級。
這造成一段短暫期間：已修補與未修補的伺服器，針對特殊支付路徑遵循不同規則。根據 XRPL 報告，若在此期間發動攻擊，可能導致不同版本之間產生分歧，並可能干擾驗證。團隊認為，承擔這項風險，優於在更長的公開啟用期間讓一項可能無法逆轉的通膨攻擊持續存在。
這次應對由 XRP Ledger 基金會、RippleX、核心開發者與驗證者共同協調，但沒有任何單一組織能獨自作出決定。每一名驗證者與節點營運者都能選擇運行的軟體，而修正案系統仍是使協議變更成為強制要求的機制。
這項披露對使用者與營運者的意義
報告沒有要求 XRP 持有者轉移資金或更換錢包。對節點營運者而言，XRPL 表示伺服器應運行 xrpld 3.4.1 或更新版本，以維持與網路同步。實際上，所述修復措施針對的是維護帳本基礎設施的軟體，而不是要求 XRP 持有者採取錢包操作。
基金會也表示，一般支付交易不會接近觸發該漏洞。利用漏洞需要數百個精心構造的操作。基金會補充，人工智慧可能讓攻擊者與防禦者都能更快發現漏洞。
計畫中的安全措施
基金會表示，計畫擴大採用形式驗證與 AI 對抗性測試，與外部安全研究人員加強合作，並強化漏洞獎勵計畫。這些措施無法保證未來不會再出現重大問題，但有望提高漏洞在正式發布前被發現的機率。
披露報告也說明了一項發布控管措施。被標記為已修復的安全問題，應使用包含修補程式的候選發布版本重新測試，並在關閉該問題前重現原先回報的問題。這項流程為外部研究人員提供了明確標準，可用於評估日後發布的版本。
該漏洞暴露出一項旨在維持 XRP 固定供應量的規則存在嚴重弱點。這次應對已形成一份公開紀錄，包括漏洞獎勵報告、驗證者加速升級、後續技術披露，以及強化安全措施的承諾。這些承諾能否成為未來發布流程中的例行措施，將決定這起事件的長期意義。
本文僅供資訊參考，不構成投資建議。隨著更多技術資訊出現，軟體發布與安全披露細節可能有所變更。
來源：Coindoo。
