XRP基金会解释其针对关键漏洞的紧急修复方案_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

XRP基金会解释其针对关键漏洞的紧急修复方案

2026-10-12 16:46:35

关键要点

XRP Ledger 官方明确表示，没有任何 XRP 是通过该漏洞产生的。公共账本数据允许对供应量及交易历史进行核查。验证节点在技术细节公开之前便安装了紧急补丁。下一步计划包括形式化验证和更严格的安全测试。基金会旨在解释其应对措施，而非重新开启利用该漏洞的可能性。

漏洞披露与响应机制

近期披露的漏洞可能允许攻击者通过精心构造的交易创建可花费的 XRP。在此类披露之后，更有价值的问题是：一个公共网络如何在未让漏洞长期暴露的情况下处理这一关键风险？XRP 基金会于 10 月 11 日发布的声明重点阐述了其响应措施：记录的供应量、加速软件部署以及计划加强的保障措施。关于漏洞的具体机制，请参阅我们此前对可能导致产生可花费 XRP 的 XRP Ledger 漏洞的分析。

响应过程回顾

9 月 22 日： 错误赏金报告送达工程团队。
9 月 25 日： 发布 xrpld 3.4.1 版本；超过 80% 的默认 UNL（唯一列表）验证节点已运行该版本。
10 月 9 日： XRPL 发布了完整漏洞披露报告。

供应量声明的可验证性

基金会指出，没有 XRP 是通过该漏洞产生的。XRP 初始供应量为固定的 1000 亿枚，而交易费用会随时间销毁；基金会估算剩余量约为 999.86 亿枚 XRP。其技术披露报告进一步指出，团队未在公共网络上发现漏洞被利用的证据。这一结论可通过账本经过验证的交易历史和账户余额进行评估，这些数据可供独立审查。“您无需仅凭信任接受我们的说法”，基金会写道，并指向公共账本数据和外部浏览器。

然而，公共记录存在局限性。它们可以显示链上验证的内容，包括可见的余额变化和交易，但无法识别披露前的每一次私下对话，也无法证明未提交攻击背后的意图。尽管如此，这些记录足以反驳“大量 XRP 被秘密铸造并隐藏在网络中”的说法。

为何技术细节滞后于补丁发布

根据 XRPL 的正常治理流程，交易规则变更通过修正案引入。验证节点必须在两周内保持超过 80% 的支持率，新规则才会激活，这给予运营商升级时间，同时确保网络同步变更。由于溢出修复涉及的风险已经实时存在，因此采取了不同的路径。披露报告指出，发布展示确切漏洞的代码会使攻击路径更容易被识别，而旧服务器仍可能接受此类请求。因此，版本 3.4.1 在每个服务器升级时应用保护，而不是等待公开的修正案流程。

常见问题解答

1. 是否产生了任何新的 XRP？

没有。XRP 的供应量在 XRP Ledger 启动时固定为 1000 亿枚，不允许任何交易创建更多代币。此漏洞是规避该规则的一种手段，而 3.4.1 版本已在两周前修复了它。您无需仅凭信任接受我们的说法。所有账本数据都是公开的，浏览器和数据网站每天都在读取这些数据。新增的 XRP 会在账户余额中显现，供所有人查看。在 XRP Ledger 上没有隐藏的 XRP 存放处，每个余额都是公开的。

我们全天候监控 XRP Ledger，并验证了整个账本历史上的供应量。社区中的其他人也进行了验证，任何人都可以这样做。交易费用会被销毁，因此供应量具有通缩性质。目前约有 999.86 亿枚 XRP 流通。

2. 为何未被及时发现，后续计划是什么？

正常的支付交易几乎不可能触发此漏洞。这需要数百个精心构造的操作。人工智能使像这样的漏洞对坏人和好人来说都更容易被发现。我们将与 RippleX 和社区合作，确保 XRP Ledger 免受此类漏洞侵害。这意味着将激进地应用形式化验证和 AI 对抗性测试，与安全研究人员密切合作，并加强错误赏金计划。随着进展推进，您将听到更多相关信息。

3. 去中心化在其中的核心作用

公共修补程序会向攻击者揭示漏洞所在，而人工智能使得这种传播速度极快。如果是正常的修正案投票，修复措施将在生效前公开数周，从而危及网络安全。作为对此的反应，XRPL 社区团结一致，其中包括 XRP Ledger 基金会、RippleX、核心开发者和验证节点，形成了社会共识，并同意了一条直接推送修复程序的路线。修补在线网络绝非易事，因此该计划还旨在最大限度地减少对每个运行节点的干扰。

我们在 9 月 25 日发布公共二进制文件之前，已与默认 UNL 验证节点的运营商分享了构建版本，使用的是各节点在其 xrp-ledger.toml 文件中公布的联系方式。公共二进制文件也在同一天发布。没有任何单一实体能独自做出此决定。每个验证节点和节点运营商选择运行何种软件，而 3.4.1 仅在获得超过 80% 验证节点支持两周后，才通过正常的修正案投票成为必需。协议变更仍需通过修正案进行。

衷心感谢 Cayden Liao 和 Veria AI 负责任地发现并报告此问题，感谢 XRPL 核心开发者构建和测试修复程序，感谢每一位迅速升级的节点运营商，特别是验证节点。

XRPL 将其描述为例外响应，而非普通治理的替代方案

报告指出，这是自十多年前引入修正案系统以来，首次对交易处理进行的故意直接更改，并且未来的协议变更将继续需要验证节点支持的修正案。验证节点仍自行决定是否安装该软件。基金会表示，它在 9 月 25 日发布公共二进制文件之前，已与默认 UNL 验证节点的运营商分享了修补后的构建版本。这些运营商可自行决定是否运行新版本；基金会或 RippleX 均无法强制独立服务器升级。

这导致了一段短暂时期，即修补和未修补的服务器遵循不同的专用支付路径规则。XRPL 的报告称，尝试利用该漏洞可能导致不同版本之间出现分歧，从而可能破坏验证过程。团队认为，相比于在较长的公共激活期内留下廉价且可能不可逆的通胀攻击风险，这种风险是可以接受的。

披露的实际意义

对于 XRP 持有者： 报告未要求用户转移资金或更换钱包。
对于节点运营商： XRPL 建议服务器运行 xrpld 3.4.1 或更高版本，以保持与网络同步。

承诺的安全改进需在未来版本中体现

基金会表示，计划扩大形式化验证范围，实施 AI 对抗性测试，与外部安全研究人员合作，并完善其错误赏金计划。这些措施不能保证不再出现关键问题，但可以提高在生产环境发布前发现漏洞的概率。披露报告还规定了一个具体的发布控制步骤：标记为已修复的安全发现应在携带补丁的发布候选版中进行重新测试，并在关闭发现之前重现原始报告的问题。这为外部研究人员在后续版本发布时提供了可评估的标准。

该漏洞暴露了旨在维持 XRP 固定供应量的规则中的严重弱点。当前的响应留下了自己的公共痕迹：一份错误赏金报告、一次快速的验证节点升级、一份随后的技术披露以及一系列安全承诺。这些承诺是否会成为常规的发布实践，将是衡量此次事件长期影响更具意义的指标。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文