跳到正文
原文
Cryptonews · 新闻报道· Ahmed Barakat·· 2 小时前

XRP Ledger 紧急发布 xrpld 3.4.1 修补可铸币漏洞

XRP News: Emergency XRPL Patch Addresses 18T Risk

内容摘要

XRP Ledger 于 9 月 25 日发布紧急安全补丁 xrpld 3.4.1，修复支付引擎溢出漏洞。该漏洞理论上可让攻击者创造约 18.5 万亿枚可花费 XRP，远超 1000 亿枚的原始供应量。漏洞于 9 月 22 日确认、9 月 23 日合并修复，开发者选择跳过常规验证者投票流程直接发布补丁，代价是升级期间不同版本服务器对同一笔交易的处理可能不一致；据 Veria，截至 9 月 25 日已有超过 80% 的验证者完成升级。Veria 的概念验证估计理论风险敞口约 940 亿美元，RippleX 未发现该漏洞在公共网络上被利用的证据。

来源：Cryptonews · 新闻报道 · cryptonews.com

打开原文
#安全事件#安全

所属事件

ZachXBT批评XRPL漏洞赏金偏低

链上侦探 ZachXBT 针对 XRP Ledger 基金会关于安全修复的回应表示，基金会金库持有数十亿美元，却仅向发现“XRP 无限增发”严重漏洞的白帽黑客支付 25 万美元赏金。他称这会削弱安全研究人员主动上报漏洞的动力，促使攻击者转而利用漏洞窃取数亿美元资金，并表示正因如此人们难以将 XRP Ledger 或 Ripple 视为正经机构。此前基金会澄清称该漏洞并未实际增发 XRP，补丁由社区共识推动，已在 3.4.1 版本修复。

查看完整事件与时间线 →综述整理于

读懂这条消息

来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。

相关报道

同一消息的其他来源与事件进展；转载数量不等于独立核验。

  • 同一消息Unchained · 采访与独立报道

    XRP Ledger 修复可凭空铸造代币的整数溢出漏洞

    查看摘要与出处

    XRP Ledger 开发者于 10 月 9 日发布漏洞披露报告，称支付引擎存在整数溢出漏洞，被利用可在一笔交易中凭空铸造远超总供应量的可花费 XRP；该漏洞已在 9 月 25 日发布的 xrpld 3.4.1 中修复，报告称未发现其在任何公共网络被利用的证据。研究者 Cayden Liao 与 Veria AI 于 9 月 22 日通过漏洞赏金计划提交，RippleX 工程师在独立服务器复现后将其评级升为严重。修复随服务器升级直接生效，跳过了通常需 80% 验证者支持两周的修正案流程；XRP Ledger Foundation 称当前约有 999.86 亿 XRP 存在，未产生新 XRP。

    核对原文 ↗

  • 同一消息CoinDesk

    CoinDesk 解释 XRP Ledger 整数溢出漏洞为何潜伏多年

    查看摘要与出处

    CoinDesk 报道，XRP Ledger 中一个存在约 11 年的整数溢出漏洞若被利用，可能凭空铸造数十亿 XRP、突破 1000 亿枚总量上限。该漏洞由研究者 Cayden Liao 和 Veria AI 于 9 月 22 日发现并内部上报，RippleX 在确认无被利用或未授权增发证据后发布修复；基金会称当前流通量约 999.86 亿 XRP，未产生损失。漏洞需数百笔精心构造的交易才能触发，且账本每次交易后核查新增 XRP 的检查依赖同一错误计数，因此长期未被发现。基金会计划加强 AI 对抗测试、形式化验证和漏洞赏金计划。

    核对原文 ↗

  • 同一消息CoinPost · 日本加密资讯

    XRPL财团解释XRP增发漏洞修复绕过修正案投票的经过

    查看摘要与出处

    XRPL财团就XRP增发漏洞的修复过程作出说明，称XRP并未被实际生成，总供应量在账本启动时固定为1000亿枚，当前约999.86亿枚。9日披露的报告显示，漏洞源于2015年以来存在的64位整数溢出，一次支付汇总多个报价时未做上限检查，回绕产生的差额可变成新XRP，而内置安全检查因使用相同算法未能发现。研究者Cayden Liao与Veria AI于9月22日通过漏洞赏金计划报告，RippleX工程师复现后将严重度从「重大」升至「关键」，未发现公开网络被利用的证据。修复未走通常的修正案投票，各服务器更新至xrpld 3.4.1即生效，为该制度引入十余年来的首次；财团称此举是为避免公开到生效的数周内持续可被攻击。9月25日默认UNL超80%的验证者已运行3.4.1，3.4.1中的fixBatchV1_2则经正常投票于10月9日生效。

    核对原文 ↗

  • 同一消息PANews

    PANews日报：COLDCARD官方X账号遭入侵，比特币卖方压力触及周期局部顶部水平

    查看摘要与出处

    PANews日报汇总今日要闻：硬件钱包制造商 COLDCARD 称其官方X账号曾发布含钓鱼链接的帖子，目前已删除，团队已联系X平台并审查账号权限；XRP Ledger 支付引擎被发现存在超10年的严重漏洞，可致XRP超量增发，已发布 xrpld 3.4.1 修复版本并协调验证者完成升级，漏洞尚未被利用。分析师 Darkfost 指出比特币站上8.5万美元后 Seller Exhaustion 指标发出信号，卖压水平接近本轮周期此前多次局部顶部阈值；另据余烬监测，POAP 创始人 worthalter 6小时前向 Gemini 转移4,000枚ETH，6天累计减持8,000枚。

    核对原文 ↗

  • 同一消息动区 BlockTempo · 中文资讯

    XRP Ledger 支付引擎整数溢出漏洞被紧急修补，官方跳过修正案流程

    查看摘要与出处

    XRP Ledger 支付引擎被披露存在自 2015 年起潜伏的整数溢出漏洞，攻击者可用数百枚 XRP 成本凭空铸造远超 1,000 亿枚上限的新币；RippleX 已随 xrpld 3.4.1 紧急修补，称未发现公开网络遭利用的迹象。漏洞源于加总未做溢位检查，且不变量检查与单账户余额检查两道防线同样失效；修补刻意跳过修正案流程，为该制度推出十多年来的首次，发布当天默认 UNL 超过 80% 验证者在未见源码情况下完成升级。报告另披露 Batch 功能的包装验证漏洞，fixBatchV1_2 已于 10 月 9 日与主网生效，该功能此前从未上线，无账户或资金受影响。

    核对原文 ↗

  • 同一消息深潮 TechFlow · Web3 资讯

    XRP Ledger 十年漏洞可凭空造币，RippleX 已随 xrpld 3.4.1 修复

    查看摘要与出处

    安全报告显示，XRP Ledger 支付路径中一个可追溯至 2015 年的漏洞，可能让攻击者几乎不出资就造出可花费的 XRP，冲击其固定供应规则。研究者于 9 月 22 日内部上报，RippleX 工程师复现攻击并确认新造 XRP 可被花费，但称未发现公共网络被利用的证据。修复已于 9 月 25 日在 xrpld 3.4.1 中交付。

    核对原文 ↗

相关资产