2026年9月21日發現的XRP Ledger安全漏洞，可能允許攻擊者在單筆交易中創建18.45萬億枚XRP——超過該代幣固定供應量的184倍。開發人員於2026年9月25日修復了這個存在了十年的漏洞，並且沒有在公共網絡上發現任何利用該漏洞的證據。
要點總結
- 該缺陷源於 2015 年添加的支付計算代碼。
- Veria AI 幫助發現了一種創建可用於消費的 XRP 的方法。
- 緊急補丁版本沒有提供公開源代碼。
- RippleX 工程師 Mayukha Vadari 警告說，人工智能使得隱藏的安全補丁更容易被逆向工程。
據 U.Today 報道，此次披露促使 RippleX 的工程師Mayukha Vadari發出警告，人工智能正在改變開發者處理關鍵修復的方式。該團隊決定發佈編譯後的軟件，卻不提供補丁的源代碼，這一做法也引發了人們對該網絡開源承諾的質疑。
CoinDesk報道稱，RippleX的工程師在一臺獨立服務器上重現了此次攻擊，並驗證了由此產生的XRP可以用於後續交易。該演示獨立於公共網絡，開發者在公共網絡上未發現任何漏洞利用的跡象。
XRP賬本安全漏洞是如何被發現的
Veria Labs 開發的安全系統Veria AI於 2026 年 9 月 21 日檢測到該漏洞。研究人員於第二天通過 XRP Ledger 漏洞賞金計劃提交了該漏洞。
CoinDesk 指出，研究員 Cayden Liao 與 Veria AI 共同發現了這一漏洞。該漏洞源於2015 年引入的代碼，在被發現之前已存在十餘年。
據 Veria Labs 稱，利用該漏洞的一筆交易即可生成約 18.45 萬億枚 XRP 。這比該加密貨幣1000 億枚 XRP的固定供應量高出 184 倍以上。所有 1000 億枚代幣均在 2012 年該賬本上線時創建；其軟件設計旨在防止進一步發行。
支付計算如何產生 XRP
該漏洞源於賬本支付引擎在處理通過其內置去中心化交易所進行的多個交易請求時發生的整數溢出。在特定情況下，支付總額超過了系統 64 位計算能力的極限。
攻擊者可以開設數百個賬戶，每個賬戶都提供少量其他代幣，以換取異常鉅額的 XRP 付款。一次性付款購買所有這些賬戶，就會使 XRP 的總金額超出計算上限。
軟件不會拒絕交易，而是計算出一個遠低於實際金額的總價。這樣，賣出賬戶將收到全部 XRP，而買入賬戶幾乎無需支付任何費用。
對新創建的 XRP 的安全檢查依賴於同樣的錯誤總數。即使設置單獨的賬戶收據限額也無法阻止攻擊，因爲 XRP 分散在數百個賬戶中。CoinDesk 報道稱，該攻擊只需要幾百個 XRP（其中大部分可以找回）加上交易手續費即可完成。
由此產生的代幣可能已被消費或轉移到加密貨幣交易所。研究人員在提交報告時估計 XRP 的市值約爲940 億美元，並認爲該缺陷威脅到其全部價值。
沒有公開源代碼的緊急修復方案
開發者於2026年9月25日發佈了xrpld 3.4.1版本以修復該漏洞。他們分發了二進制文件，但沒有提供安全補丁的源代碼。
據 CoinDesk 報道，此次發佈最初並未說明修復了哪些問題。這種不公開代碼的做法引發了批評，人們質疑這是否符合 XRPL 的開源性質。
Vadari對人工智能和安全補丁的警告
瓦達裏警告說，人工智能使得在正常的公開軟件版本中悄悄地加入關鍵修復程序變得更加困難。她擔心的是補丁會被快速檢測和逆向工程。
“人工智能改變了一切。你不能再像以前那樣在常規的公開發布過程中偷偷地加入一個關鍵的漏洞補丁了，因爲你很快就會被發現並被逆向工程，”Vadari 在 X 的一篇文章中寫道。
在這種情況下，基於人工智能的安全系統幫助發現了一個自 2015 年以來一直存在的漏洞，RippleX 在獨立服務器測試中證實了該漏洞的存在。
本文由人工智能輔助生成，並經編輯團隊審覈。