自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

XRP Ledger 绕过常规投票修复无限 XRP 漏洞

2026-10-12 12:42:08
收藏

XRP Ledger 紧急安全补丁绕过常规投票流程引发讨论

XRP Ledger (XRPL) 的开发团队为其发布的紧急安全补丁进行了辩护,该补丁跳过了网络标准的验证者投票程序。9月25日发布的这一修复方案关闭了一个潜在漏洞,攻击者原本可能利用此漏洞在代币固定供应量之外创建可花费的 $XRP。

据 XRPL 基金会称,跳过正常流程的决定是由开发人员、RippleX (@RippleXDev) 以及验证者共同做出的。RippleX 表示,在公共网络上未发现任何被利用的证据。

为何补丁跳过两周投票期

据报道,XRPL 开发人员指出,如果不立即行动,等待通常为期两周的验证者投票将使漏洞暴露在攻击者面前。该修复方案在收到漏洞赏金报告后三天内发布,并立即对安装了该补丁的任何服务器生效。开发人员将其描述为该系统引入十多年以来,首次有意绕过正常修正案流程的情况。

根据常规流程,规则变更通常需要获得超过 80% 可信验证者的支持并持续两周才能生效。XRPL 开发人员在 X 平台发帖辩称,正常的修正案投票会使修复方案在生效前公开数周,从而危及网络安全。

漏洞详情与修复方式

该漏洞源于账本支付引擎中的整数溢出问题。据报道,攻击者可以在多个账户中放置涉及异常大量 XRP 的报价单,然后通过一笔精心构造的付款来消耗这些报价。由于总和超过了计数器所能容纳的范围并发生回绕(wrap around),导致数值变为更小的数字,从而使卖家全额收款,而买家支付的金额远低于预期。

据悉,该问题最早可追溯至 2015 年。研究人员 Cayden Liao 和 Veria AI 于 9 月 22 日通过 XRPL 漏洞赏金计划报告了此问题。RippleX 工程师在本地独立服务器上复现了该漏洞,并确认新创建的 XRP 确实可以被花费。修复代码包含在 xrpld 3.4.1 版本中。

更新普及速度很快。截至发布日,超过 80% 的默认 UNL(唯一节点列表)验证者已运行该更新,并于 10 月 9 日进行了公开披露。

外界反应与回应

此举也招致了一些批评。Cyber Capital 创始人 Justin Bons 认为,此次发布仅提供了二进制文件,并对运营商施加了升级压力。对此,基金会回应称,没有任何单一方可以独自做出决定,每个验证者和节点运营商都有权选择运行何种软件。

展开阅读全文
更多新闻