簡述
- XRP Ledger 維護人員披露並修補了一個關鍵的支付引擎溢出漏洞，該漏洞於九月透過漏洞賞金計畫回報，可能讓攻擊者製造偽造的 XRP。
- 這個缺陷自 2015 年以來一直未被發現，因為沒有正常支付會觸發它，而且帳本的「未創建 XRP」安全檢查使用了同樣有問題的算術。
- XRP Ledger 開發人員表示，沒有證據顯示該漏洞曾被利用。
XRP Ledger 背後的開發人員披露並修復了一個關鍵漏洞，若未處理，可能讓攻擊者憑空創造 XRP，這個缺陷在網路程式碼中潛伏了約十年。
在週五發布的披露中，帳本的維護人員表示，一名研究人員於九月透過 XRPL 漏洞賞金計畫回報了該漏洞。該問題是支付引擎中的整數溢出，支付引擎是軟體中處理支付的部分。
當單一筆支付消耗了訂單簿中數百個特別設計的報價時，買方應付的總額超過了系統所能儲存的最大值，並「迴繞」成一個極小的數字。引擎全額支付了每個賣方，卻幾乎沒有向買方收取任何費用，其中的差額相當於新鑄造的 XRP，而這些 XRP 本不應該存在。
更糟的是，帳本內建用來確認沒有任何交易會創造 XRP 的安全檢查，使用了同樣有缺陷的算術，因此它以相同的方式迴繞，什麼也沒抓到。維護人員表示，攻擊者本可在單一筆交易中創造出遠超該代幣總供應量的可花費 XRP，然後將其轉移、交易或發送到交易所。
比特幣BTC · USD
$82,731−2.98%
10月5日10月7日10月9日10月10日10月12日
$86.6k$84.6k$82.7k$80.7k
24小時最高最高$84,231
24小時最低最低$82,379
成交量成交量$1.0B
市場預測賠率由 Myriad
→使用 USDT 購買 比特幣
由 Jupiter 提供技術支援
RippleX 工程師確認，該漏洞自 2015 年現行支付引擎編寫以來就一直存在，且未被發現，因為沒有任何普通支付會接近觸發溢位。
團隊表示，沒有證據顯示該漏洞曾被利用。修補程式已於9月25日在3.4.1版中發布，當天網路中超過80%的可信驗證者都在運行該版本。
值得注意的是，該修補程式繞過了帳本常規的修正程序，該程序要求驗證者投票並等待兩週後變更才會生效，這是自該系統十多年前推出以來，首次有交易處理變更刻意以這種方式發布。維護者表示，其嚴重性足以證明此舉合理，因為這個開源修補程式若按常規流程，將會揭露該漏洞，同時讓它在數週內仍可被利用。
此次披露呼應了今年震動Zcash的偽造恐慌，當時這款隱私幣急忙修補其屏蔽池中的一個健全性漏洞，該漏洞可能允許偽造代幣。該事件導致ZEC暴跌，直到該網路的Ironwood升級才解決。
XRP也未能安然度過這一週。該代幣週一交易價格為1.38美元，24小時內下跌1.6%，是主要加密貨幣中表現最差的，過去七天則下跌9.4%。
