导语：Ripple 表示，XRP Ledger 支付引擎中一个存在超过十年的漏洞已在公开披露前完成修复。该漏洞理论上可能让攻击者创建超出网络固定 1000 亿枚供应上限的可花费 XRP，但调查人员未发现其在公共网络上被利用，也未发现未经授权 XRP 被发行。
补丁与披露时间线
RippleX 表示，开发者测试了补丁，并与运营方协调升级，随后才公开披露。修复随 xrpld 3.4.1 于 9 月 25 日发布。xrpld 是处理交易并维护账本记录的服务器软件。XRP Ledger Foundation 的漏洞披露报告详细说明了支付引擎溢出问题及其修复措施。
这一快速软件部署不同于账本的修正案流程。修正案流程由验证者用来激活协议规则变更；而此次供应漏洞修复则通过服务器升级至已修补版本而生效。
支付引擎漏洞如何运作
该漏洞位于支付引擎中。支付引擎在交易通过 XRP Ledger 内置交易所的报价进行兑换时计算金额。在特别构造的条件下，算术运算可能发生溢出：计算结果没有返回跨报价应付的真实总额，而是发生回绕并产生一个小得多的数字。这种不匹配可能让卖家收到比买家支付更多的 XRP。
XRP 的供应上限在创世时创建全部 1000 亿枚 XRP 时即已设定；与工作量证明网络不同，验证者处理交易时不会挖出新的 XRP。因此，一个可能让额外 XRP 变得可花费的漏洞，冲击的是一项基本货币规则，而不只是某个单独账户。
对 XRP 持有者意味着什么
已记录的风险是可能创建未经授权、可花费的 XRP，而不是已确认的用户资金损失。调查人员未发现公共网络被利用的证据，主要披露也没有证实资金已经损失。正确的解读是：这是一个严重漏洞，但已被修补，而不是一次已确认的供应上限突破。
该漏洞的年龄仍然值得注意。核心支付路径中的缺陷在代码库中保留了十多年，而一项本用于防止 XRP 被创建的安全检查，未能捕获同一个算术问题。以交易术语来说，该漏洞暴露出一个本应像断路器一样发挥作用的规则盲点。
XRP 相关安全事件可能涉及非常不同的系统：例如钱包或服务遭入侵，与账本交易规则中的缺陷并不相同。
发现与回应
RippleX 高管 J. Ayo Akinyele 在 10 月 10 日于 X 上概述了回应，此前该问题于 10 月 9 日周五披露。Veria AI 通过 XRPL 漏洞赏金计划帮助发现了该问题。Akinyele 表示：“AI 正在从根本上改变漏洞被发现的速度。”