XRP 账本潜伏十年的漏洞可凭空增发 XRP：修了什么、有没有人受损、持币者要不要动（2026 年 10 月）

漏洞到底是什么

xrpl.org 上的官方漏洞披露报告讲得很直白。一笔支付穿过订单簿时，引擎会一次吃掉同一最优价位上的所有挂单，并把买方应付的总额加起来。这个加法用的是普通 64 位整数，没有溢出检查。XRP 余额以有上限的整数存储，总额一旦超过上限，不会报错，而是“绕回”成一个很小的数。

结果是：引擎照常把每张挂单的全额付给挂单方，却只向买方收取绕回后的小额。差额就是本不该存在的新 XRP。

本来有两道保险，但都没拦住：

• “不得创造 XRP”的不变量检查，同样用 64 位计数器汇总全笔交易的余额变化，也会一起绕回，看上去只像扣了一笔正常手续费；
• 单账户余额检查只在某个账户持有超过总供应量时才报错，攻击者把新币分散到几百个账户，每个都低于这条线。

报告说，这个溢出从 2015 年现行支付引擎写成时就在；两年后加上的不变量检查，也沿用了同样不设防的算术。

攻击需要什么条件

按报告描述，攻击者要先建几百个账户，让每个账户挂出“用极少量某种代币，换极大量 XRP”的卖单，再用另一个账户发一笔支付，一次性吃掉所有挂单。每个卖方账户都收到全额 XRP，买方只付几百 drops 加手续费。真实成本只是几百 XRP 的账户和挂单准备金，而且删除这些对象后还能退回。

发现漏洞的安全公司 Veria Labs 联合创始人 Cayden Liao 在 X 上表示，按他的计算，一笔利用交易就可能造出约 18 万亿 XRP，约为总供应量的 184 倍。据 The Block 报道，他说漏洞是 Veria 的 AI 智能体找到并写出可用攻击代码的，Ripple 为此支付了漏洞赏金计划的最高额 25 万美元。

报告也强调，这不可能被意外触发：需要几百张价格离谱、没有真实交易者会挂的单子。原始报告里“用这些挂单阻塞别人支付”的设想也被否定，因为这类挂单永远排在订单簿最底部，正常支付在碰到它们之前就已成交。

时间线

为什么跳过修正案投票

正常情况下，改动交易处理规则的代码会先“默认关闭”，等超过 80% 的可信验证者连续两周支持后，所有服务器在同一个账本高度一起切换。这次的修复则是每台服务器一升级就立即生效，报告称这是修正案机制推出十多年来第一次这样做。

理由是：xrpld 是开源的，按常规流程发布，等于提前几周告诉攻击者漏洞在哪里，而修复还没生效。代价是在升级过渡期，新旧版本服务器对这类支付的判断不同；但只有攻击交易才会走到这段代码，所以开发方认为短暂的分歧甚至停链风险，远小于几周“公开可用的漏洞”。他们也说明，这只适用于最严重的漏洞，不改变平时的协议治理方式。

批评声音同样存在。3.4.1 的发布说明写明，因为涉及安全敏感修复，源代码暂不公开。据 The Block 报道，Cyber Capital 创始人 Justin Bons 在 X 上说 XRP 这两周一直在“跑闭源代码”；RippleX 工程师 Mayukha Vadari 回应称，在 AI 时代，关键补丁已经不可能悄悄混进一次常规公开发布，否则马上就会被逆向出来。

第二个漏洞：Batch 批量交易

同一版本还修了 Batch 功能的问题。Batch 允许一个账户把最多 8 笔交易打包成一个整体提交。手工构造的 Batch 交易可以把内部交易包在错误的字段里，不同版本的服务器可能对它是否有效得出不同结论，最坏会让账本停止确认。由于发现时 Batch 尚未在主网启用，没有资金受影响。修复修正案和 Batch 本身都在 10 月 9 日上线，低于 3.4.1 的服务器现在已被“修正案阻断”，无法再与网络同步。

对你意味着什么

• 在交易所或钱包里持有 XRP： 不需要任何操作。开发方没有发现利用迹象，XRP 供应量没有变化。XRPL 官网的说明也写明，XRP 不会超过最初的 1,000 亿枚。
• 运行 XRPL 节点或在上面开发： 按发布说明，必须升级到 xrpld 3.4.1 或更高版本，否则无法同步。
• 市场反应： 很小。10 月 11 日 UTC 约 18:50，币安 XRPUSDT 报 1.4073 美元，24 小时涨 0.21%，区间 1.3872–1.43 美元。
• 更大的信号： 几周之内，这已经是继 Liquid 侧链被攻击之后，第二个“AI 帮忙翻出十年老漏洞”的案例。RippleX 工程负责人 J. Ayo Akinyele 表示团队会扩大 AI 辅助查漏和形式化验证。对老牌公链来说，“代码跑了很多年没出事”不再等于安全。

怎么应对

这类安全新闻是检查自己 XRP 放在哪里的理由，而不是交易信号。如果在中心化交易所买卖 XRP，选订单簿深、提币通道正常的平台，长期持有的部分放在自己掌控的钱包里。OKX 提供 XRP 现货和永续合约，用邀请码 nexu888 注册可返还 40% 交易手续费，按小时结算（OKX 交易所资料）。如果要用杠杆交易 XRP，先看一眼我们的资金费率看板，新闻驱动的行情里，资金费率和爆仓变化最快。

常见问题速答

XRP 账本被黑了吗？ 没有。漏洞由安全研究者发现，2026 年 9 月 25 日已修复，开发方称没有被利用的证据。

XRP 供应量变了吗？ 没有。漏洞理论上能突破 1,000 亿上限，但没有被使用，供应量不变。

我需要转移 XRP 吗？ 普通持有人不用操作，只有节点运营者需要升级到 xrpld 3.4.1 或更新版本。

是谁发现的？ Veria Labs 的 Cayden Liao 通过 XRPL 漏洞赏金计划提交，他表示漏洞由 AI 智能体发现。

为什么修复时不公开源代码？ 公开代码会在多数节点升级前暴露漏洞位置；源代码已于 10 月 9 日随披露报告一起公开。

本文局限

技术细节与日期来自 xrpl.org 的漏洞披露报告和 xrpld 3.4.1 发布说明；“18 万亿 XRP”的估算、25 万美元赏金和 X 上的争论来自 The Block 的报道，我们没有逐条核对原帖。价格只是币安的一次快照。本文不构成投资建议。合作链接可能为 NexuAlpha 带来交易所支付的佣金，不增加你的交易成本。