XRP Ledger 加速封堵自家的代幣鑄造後門
重點速覽
- •XRPL 官方文件建議，在 fixCleanup3_4_0 修正案於主網啟用之前，不要委派 PaymentBurn 權限。
- •位於零餘額邊界的缺陷使僅銷毀權限的委派帳戶能發行新的信託線代幣或多用途代幣（MPT），但無法創造新的 XRP。
- •PermissionDelegationV1_1 於 10 月 8 日上線，當時 PaymentBurn 修正仍在爭取驗證節點支持，因此只有自上線以來授予 PaymentBurn 的發行方暴露於風險之中。
- •目前尚未發現受影響的發行方或濫用情況，且每項委派授權都公開記錄在 Delegate 帳本條目中。
- •fixCleanup3_4_0 獲得 35 個受信任驗證節點中的 33 個支持，並包含 25 項變更，但啟用需要 29 個驗證節點的超級多數連續維持兩週。
XRP Ledger（XRPL）官方文件建議帳戶持有人，在名為 fixCleanup3_4_0 的修正案於網路上啟用之前，不要委派 PaymentBurn 權限。此警告聚焦於代幣銷毀與鑄造之間邊界上的一個缺陷——在某些情況下，該缺陷使僅持有銷毀權限的委派帳戶能夠發行新代幣，而非銷毀代幣。此缺陷無法創造新的 XRP 本身，但涉及權限委派原本設計中應由離線金鑰保護的那一項任務。
僅銷毀權限委派帳戶原本的用途
權限委派允許一個帳戶將特定工作交給第二個帳戶，由後者用自己的金鑰簽署。XRPL 的文件明確說明其目的：例行工作由保持在線的金鑰執行，而擁有完全控制權的金鑰則離線保管，用於發行代幣等特殊任務。Coindoo 關於 XRPL 委派帳戶控制的指南說明了機構可能如何劃分這些角色。
帳本十二項細粒度權限中有兩項與代幣供應相關。PaymentMint 涵蓋創建同質化代幣或多用途代幣（MPT）的支付。PaymentBurn 涵蓋銷毀代幣的支付，且文件對其邊界定義精確：銷毀在餘額為零時停止。
缺陷正位於該邊界。在修正之前，以 PaymentBurn 發送的支付在某些情況下可能跌破零餘額，並發行新的信託線代幣或 MPT。fixCleanup3_4_0 會拒絕任何金額可能跨越到鑄造的僅銷毀委派支付，除非同一委派帳戶同時持有 PaymentMint。其餘十一項細粒度權限不受影響。
這使得該漏洞影響範圍狹窄，但涉及的內容卻十分敏感。只有發行方已指定為委派帳戶的帳戶才能利用它，但它所解鎖的是代幣發行——正是委派機制原本設計中應由離線金鑰保護的任務。
冷儲存無法涵蓋委派帳戶的金鑰
委派交易以委派帳戶自己的主金鑰、常規金鑰或多重簽名清單簽署。發行方可以將其主要憑證完全離線保管，但如果持有 PaymentBurn 的委派帳戶遭到入侵、配置錯誤或超越授權範圍行事，發行方仍會暴露於風險之中。
對於法幣抵押代幣而言，經濟風險在於流通中的代幣沒有相應的儲備。儲備證明顯示的是特定報告日針對未償還代幣所持有的資產。它無法說明在報告之間哪些帳戶可能改變該數量——而這正是此缺陷所削弱的控制。
委派功能在修正案獲得足夠票數前已上線
這是 XRPL 委派功能發現的第二個缺陷。原始版本於 2025 年被撤回，此前社群測試者在 devnet 上發現它可能向未簽署交易的帳戶收取交易費用，且官方披露證實該版本從未進入主網。據 XRPL 的修正案儀表板，其替代版本 PermissionDelegationV1_1 已於 10 月 8 日上線，當時 PaymentBurn 的修正仍在爭取驗證節點支持。
因此暴露風險以帳戶為單位：只有自上線以來授予 PaymentBurn 的發行方受到影響。每項授權都是公開的，因為 Delegate 帳本條目會記錄授予帳戶、委派帳戶及其權限清單。截至撰寫本文時，XRPL 文件和已發布的報導均未發現受影響的發行方或任何濫用行為。
供應量增加本身不能證明任何問題，因為發行方可能有意授予 PaymentMint。需要解釋的是僅持有 PaymentBurn 的委派帳戶其支付卻增加了代幣的情況。
發行方在週三前可檢查的事項
XRPL 發布的建議是，在修正案啟用之前停止委派 PaymentBurn。對於已授予該權限的發行方，工作按以下順序進行：
- 提取發行帳戶上的每一個 Delegate 條目，並標記任何包含 PaymentBurn 的權限清單。
- 重新發送包含要保留的完整權限清單的 DelegateSet。新清單會取代舊清單，因此未列入的項目將被移除。
- 只有當變更出現在已驗證的帳本中，才視為授權已被撤銷。
- 分開審計委派帳戶過往的付款，因為撤銷授權只能阻止未來使用，無法逆轉先前的交易。
- 只有在 fixCleanup3_4_0 顯示為已在主網啟用後，才重新委派 PaymentBurn。
為何投票仍可能延後
根據官方修正案規則，一項變更需要受信任驗證節點的超級多數連續維持兩週。在追蹤集合中的 35 個驗證節點中，門檻為 29 個，一旦低於該門檻，計時將重置。該重置已經發生過一次；目前支持該修正的受信任驗證節點為 35 個中的 33 個。
即使支持率保持不變，兩週窗口自 14:46 UTC 起算。啟用發生在帳本投票檢查點，因此變更可能在該時間之後的某個時刻生效。
驗證節點還在對遠多於此項修正的內容進行投票。fixCleanup3_4_0 包含涵蓋金庫、借貸、自動做市商、NFT、託管與贊助的 25 項變更，而 PaymentBurn 的修正是清單上的最後一項。它在修補借貸程式碼的同時並未啟用借貸協議本身，後者仍有自己的修正案等待投票。
對發行方而言，真正算數的確認是 fixCleanup3_4_0 被列為已在主網啟用。在此之前，PaymentBurn 授權所承載的權限超出其名稱所描述的範圍。
本文最初發表於 Coindoo。
