新聞 
幣種資訊 
關於我們 
XRP Ledger（XRPL）的支付引擎漏洞已完成修補。該漏洞可能繞過瑞波幣（XRP）的供應量上限，讓單筆交易生成約18兆4500億枚XRP。XRPL開發團隊表示，沒有證據顯示公開網路曾遭利用。
XRPL於9月25日緊急發布伺服器軟體「xrpld」3.4.1版。XRPL於10月9日公布的漏洞報告指出，支付引擎一次處理多筆去中心化交易所訂單時，可能錯誤計算所需XRP總量，導致整數溢位。攻擊者可利用特別設計的訂單和單筆支付生成並使用新XRP。
XRPL報告指出，這項缺陷可能自支付引擎於2015年編寫以來便存在。資安公司Veria Labs估算，若漏洞遭利用，單筆交易可能生成約18兆4500億枚XRP。這超過XRPL初始供應上限1000億枚的184倍，但這只是潛在生成規模，不代表XRP實際增發或網路已受損。
錯誤發生在加總多筆訂單支付金額時。若總和超出整數範圍，計算結果可能回到較小數值，使賣方收到完整訂單金額，而買方支付的XRP遠低於應付數量。XRPL報告也指出，用來阻止新增XRP的帳本檢查存在另一處算術錯誤，可能因此未能拒絕交易。
Veria Labs於9月22日通報漏洞，修正方案於隔日納入程式碼。XRPL於9月25日發布3.4.1版，並表示當天超過80%的預設驗證者清單已轉用新版。Veria Labs表示，AI資安代理發現了缺陷，並在測試環境中建立可運作的攻擊程式碼。
這次修補採取的方式不同於XRPL一般的協議變更流程。通常，協議變更須取得驗證者支持，並在一段時間後啟用；本次溢位修正則在伺服器升級至新版後立即生效。XRPL表示，若循一般流程，修正程式碼公開後，網路完成防護前仍可能暴露於漏洞風險，因此決定緊急發布。
3.4.1版也包含批次交易功能的另一項缺陷修正。XRPL於10月9日在主網啟用這項修正。XRP溢位漏洞的修補隨伺服器更新一併套用，批次交易修正則經過獨立啟用程序。此次事件並非供應量上限實際遭突破，而是透過安全措施排除支付計算錯誤與上限防護機制缺陷可能相互作用的風險。
留言 0