2026年9月21日发现的XRP Ledger安全漏洞，可能允许攻击者在单笔交易中创建18.45万亿枚XRP——超过该代币固定供应量的184倍。开发人员于2026年9月25日修复了这个存在了十年的漏洞，并且没有在公共网络上发现任何利用该漏洞的证据。
要点总结
- 该缺陷源于 2015 年添加的支付计算代码。
- Veria AI 帮助发现了一种创建可用于消费的 XRP 的方法。
- 紧急补丁版本没有提供公开源代码。
- RippleX 工程师 Mayukha Vadari 警告说，人工智能使得隐藏的安全补丁更容易被逆向工程。
据 U.Today 报道，此次披露促使 RippleX 的工程师Mayukha Vadari发出警告，人工智能正在改变开发者处理关键修复的方式。该团队决定发布编译后的软件，却不提供补丁的源代码，这一做法也引发了人们对该网络开源承诺的质疑。
CoinDesk报道称，RippleX的工程师在一台独立服务器上重现了此次攻击，并验证了由此产生的XRP可以用于后续交易。该演示独立于公共网络，开发者在公共网络上未发现任何漏洞利用的迹象。
XRP账本安全漏洞是如何被发现的
Veria Labs 开发的安全系统Veria AI于 2026 年 9 月 21 日检测到该漏洞。研究人员于第二天通过 XRP Ledger 漏洞赏金计划提交了该漏洞。
CoinDesk 指出，研究员 Cayden Liao 与 Veria AI 共同发现了这一漏洞。该漏洞源于2015 年引入的代码，在被发现之前已存在十余年。
据 Veria Labs 称，利用该漏洞的一笔交易即可生成约 18.45 万亿枚 XRP 。这比该加密货币1000 亿枚 XRP的固定供应量高出 184 倍以上。所有 1000 亿枚代币均在 2012 年该账本上线时创建；其软件设计旨在防止进一步发行。
支付计算如何产生 XRP
该漏洞源于账本支付引擎在处理通过其内置去中心化交易所进行的多个交易请求时发生的整数溢出。在特定情况下，支付总额超过了系统 64 位计算能力的极限。
攻击者可以开设数百个账户，每个账户都提供少量其他代币，以换取异常巨额的 XRP 付款。一次性付款购买所有这些账户，就会使 XRP 的总金额超出计算上限。
软件不会拒绝交易，而是计算出一个远低于实际金额的总价。这样，卖出账户将收到全部 XRP，而买入账户几乎无需支付任何费用。
对新创建的 XRP 的安全检查依赖于同样的错误总数。即使设置单独的账户收据限额也无法阻止攻击，因为 XRP 分散在数百个账户中。CoinDesk 报道称，该攻击只需要几百个 XRP（其中大部分可以找回）加上交易手续费即可完成。
由此产生的代币可能已被消费或转移到加密货币交易所。研究人员在提交报告时估计 XRP 的市值约为940 亿美元，并认为该缺陷威胁到其全部价值。
没有公开源代码的紧急修复方案
开发者于2026年9月25日发布了xrpld 3.4.1版本以修复该漏洞。他们分发了二进制文件，但没有提供安全补丁的源代码。
据 CoinDesk 报道，此次发布最初并未说明修复了哪些问题。这种不公开代码的做法引发了批评，人们质疑这是否符合 XRPL 的开源性质。
Vadari对人工智能和安全补丁的警告
瓦达里警告说，人工智能使得在正常的公开软件版本中悄悄地加入关键修复程序变得更加困难。她担心的是补丁会被快速检测和逆向工程。
“人工智能改变了一切。你不能再像以前那样在常规的公开发布过程中偷偷地加入一个关键的漏洞补丁了，因为你很快就会被发现并被逆向工程，”Vadari 在 X 的一篇文章中写道。
在这种情况下，基于人工智能的安全系统帮助发现了一个自 2015 年以来一直存在的漏洞，RippleX 在独立服务器测试中证实了该漏洞的存在。
本文由人工智能辅助生成，并经编辑团队审核。