XRP网络关键漏洞已修补，供应上限未受威胁
10月9日，XRP Ledger（XRPL）团队披露，其支付引擎中存在一个潜在的整数溢出缺陷。该问题在极端交易场景下可能引发代币异常生成，理论上突破1000亿枚的初始供应上限。
漏洞修复迅速落地，无公开滥用记录
该漏洞已在9月25日发布的xrpld 3.4.1版本中完成修复。据RippleX声明，截至目前尚未发现该漏洞在主网上被实际利用的证据，系统整体运行稳定。
研究人员主动上报，验证过程确认高危性
漏洞由研究员Cayden Liao与Veria AI通过XRPL漏洞赏金计划提交。RippleX工程师在隔离环境中复现了攻击路径，证实攻击者可通过特定支付操作实现虚假资金注入，并成功执行后续转账，因此将风险等级从“重大”提升至“关键”。
攻击机制解析：数值回绕如何制造虚拟代币
漏洞根源在于支付处理逻辑中对64位整数加法缺乏溢出检测。当大量挂单被集中消耗时，总金额可能超出最大值，导致计算结果回绕至极小数值。此时买方仅被扣除微量费用，而卖方却获得全额结算，从而形成未授权的新XRP流入攻击者账户。
双重防护失效，攻击路径得以实现
本应阻止此类行为的两项机制均未能生效：一是账本“无新币产生”的不变量检查，因计算方式一致也发生相同回绕；二是单账户余额超限触发机制，攻击者通过将新铸造代币分散至数百个账户规避检测。
首次跳过修订流程，保障修复时效性
通常情况下，规则变更需经“修订”流程，包含两周休眠期及80%以上可信节点支持。但鉴于该漏洞可零权限利用且影响直接，RippleX决定跳过此流程，直接推送补丁。此举旨在防止修复代码在公开期间被恶意利用。
修复部署高效，网络稳定性不受影响
尽管存在混合版本网络风险，但由于正常交易不会触碰受影响代码段，实际风险可控。3.4.1版本发布当日，超过80%默认UNL验证节点已完成升级，且源码公开前即完成部署。
固定供应模型再获验证，市场信心增强
此次事件再次凸显了XRP核心价值主张——供应量必须可证明有限。所有1000亿枚代币均在2012年创建，机构用户依赖这一硬性上限构建信任体系。
尽管该漏洞自2015年起便存在于代码中，但从未被发现用于真实攻击。同一版本还修复了一个批量交易包装器验证缺陷，已于10月9日在主网激活。未来，RippleX计划引入更严格的发布前重测机制，确保所有已修复漏洞在候选阶段重新验证。
