跳到正文
原文
CoinPost · 日本加密资讯· Enzo·· 2 小时前精选

XRPL财团解释XRP增发漏洞修复绕过修正案投票的经过

XRP不正生成の脆弱性、悪用防止で投票経ず修正 XRPL財団が説明

内容摘要

XRPL财团就XRP增发漏洞的修复过程作出说明，称XRP并未被实际生成，总供应量在账本启动时固定为1000亿枚，当前约999.86亿枚。9日披露的报告显示，漏洞源于2015年以来存在的64位整数溢出，一次支付汇总多个报价时未做上限检查，回绕产生的差额可变成新XRP，而内置安全检查因使用相同算法未能发现。研究者Cayden Liao与Veria AI于9月22日通过漏洞赏金计划报告，RippleX工程师复现后将严重度从「重大」升至「关键」，未发现公开网络被利用的证据。修复未走通常的修正案投票，各服务器更新至xrpld 3.4.1即生效，为该制度引入十余年来的首次；财团称此举是为避免公开到生效的数周内持续可被攻击。9月25日默认UNL超80%的验证者已运行3.4.1，3.4.1中的fixBatchV1_2则经正常投票于10月9日生效。

推荐理由

漏洞源于2015年的64位整数溢出，绕过常规修正案投票直接部署，因公开投票流程会留下数周攻击窗口。

来源：CoinPost · 日本加密资讯 · coinpost.jp

打开原文
#安全事件#安全

所属事件

XRPL紧急补丁跳过投票引发去中心化争议

XRP Ledger 开发者为 9 月 25 日跳过常规修正案投票的紧急补丁辩护，称漏洞报告后三天内必须修复，否则补丁公开到生效的数周内持续可被攻击；这是该制度引入十余年来的首次绕过。Cyber Capital 创始人 Justin Bons 批评该版本仅以二进制形式发布、暂扣源码并施压节点升级；基金会回应称决定由基金会、RippleX、核心开发者与验证者共同作出，3.4.1 的强制实施仍需超 80% 验证节点支持两周的常规投票，协议变更仍走修正案流程。独立验证者 XRP Kuwait 认为协调升级不等于集中控制。开发者称独立节点随后用同一方法又发现 4 档额外漏洞。

最新变化：开发者为跳过投票辩护，Justin Bons 批评补丁仅以二进制发布，独立节点另发现 4 档漏洞。

查看完整事件与时间线 →综述整理于

读懂这条消息

来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。

相关报道

同一消息的其他来源与事件进展；转载数量不等于独立核验。

  • 同一消息PANews

    PANews日报：COLDCARD官方X账号遭入侵，比特币卖方压力触及周期局部顶部水平

    查看摘要与出处

    PANews日报汇总今日要闻：硬件钱包制造商 COLDCARD 称其官方X账号曾发布含钓鱼链接的帖子，目前已删除，团队已联系X平台并审查账号权限；XRP Ledger 支付引擎被发现存在超10年的严重漏洞，可致XRP超量增发，已发布 xrpld 3.4.1 修复版本并协调验证者完成升级，漏洞尚未被利用。分析师 Darkfost 指出比特币站上8.5万美元后 Seller Exhaustion 指标发出信号，卖压水平接近本轮周期此前多次局部顶部阈值；另据余烬监测，POAP 创始人 worthalter 6小时前向 Gemini 转移4,000枚ETH，6天累计减持8,000枚。

    核对原文 ↗

  • 同一消息动区 BlockTempo · 中文资讯

    XRP Ledger 支付引擎整数溢出漏洞被紧急修补，官方跳过修正案流程

    查看摘要与出处

    XRP Ledger 支付引擎被披露存在自 2015 年起潜伏的整数溢出漏洞，攻击者可用数百枚 XRP 成本凭空铸造远超 1,000 亿枚上限的新币；RippleX 已随 xrpld 3.4.1 紧急修补，称未发现公开网络遭利用的迹象。漏洞源于加总未做溢位检查，且不变量检查与单账户余额检查两道防线同样失效；修补刻意跳过修正案流程，为该制度推出十多年来的首次，发布当天默认 UNL 超过 80% 验证者在未见源码情况下完成升级。报告另披露 Batch 功能的包装验证漏洞，fixBatchV1_2 已于 10 月 9 日与主网生效，该功能此前从未上线，无账户或资金受影响。

    核对原文 ↗

  • 同一消息深潮 TechFlow · Web3 资讯

    XRP Ledger 十年漏洞可凭空造币，RippleX 已随 xrpld 3.4.1 修复

    查看摘要与出处

    安全报告显示，XRP Ledger 支付路径中一个可追溯至 2015 年的漏洞，可能让攻击者几乎不出资就造出可花费的 XRP，冲击其固定供应规则。研究者于 9 月 22 日内部上报，RippleX 工程师复现攻击并确认新造 XRP 可被花费，但称未发现公共网络被利用的证据。修复已于 9 月 25 日在 xrpld 3.4.1 中交付。

    核对原文 ↗

  • 同一消息CoinPost · 日本加密资讯

    XRP Ledger 修复可超发 1000 亿 XRP 供应量的溢出漏洞

    查看摘要与出处

    XRP Ledger 社区博客 9 日发布的报告称，Ripple 开发部门 RippleX 与 XRP Ledger 基金会已在 9 月 25 日公开的 xrpld 3.4.1 中修复了可非法生成 XRP 的漏洞。该漏洞源于支付引擎在一次支付中汇总多个 offer 时未检查合计上限，2015 年起便可能存在，超额合计会因溢出回落，差额部分的 XRP 被凭空生成。RippleX 在 9 月 22 日收到漏洞赏金报告后于本地复现并确认可将生成的 XRP 用于后续支付，将严重度定为「Critical」；报告称滥用可在一次已验证交易中生成远超 1000 亿 XRP 总供应量的代币，但未发现公开网络上的滥用证据。此次修复是该 amendment 投票机制引入 10 多年来首次刻意绕过该流程，公开当日默认信任列表中超过 80% 的验证者已运行 3.4.1 或更高版本。

    核对原文 ↗

  • 同一消息Odaily 星球日报 · 重要快讯

    XRP Ledger 修复可凭空生成 XRP 的近 11 年支付漏洞

    查看摘要与出处

    XRP Ledger 修复了一项可追溯至 2015 年的支付系统漏洞，该漏洞或允许攻击者通过特殊设计的支付交易凭空生成并花费大量 XRP，破坏 1000 亿枚总量上限。研究人员于 9 月 22 日报告，RippleX 复现并确认，称无证据表明漏洞曾在公开网络被利用，9 月 25 日发布 xrpld 3.4.1 修复。

    核对原文 ↗

  • 同一消息CoinDesk

    XRP Ledger 修复可凭空铸造 XRP 的十年漏洞

    查看摘要与出处

    安全报告披露，XRP Ledger 存在约始于 2015 年的漏洞，攻击者可凭空创建大量 XRP 并花费，破坏 1000 亿枚固定上限。RippleX 于 9 月 25 日在 xrpld 3.4.1 版本中修复，称公共网络上未发现被利用证据。

    核对原文 ↗

相关资产