XRPL 补上一个十年的漏洞：一笔支付本可凭空「印」出数十亿美元 XRP
一条运行了十年的链、一个写死了「总量 1000 亿」的账本，差点被人用一笔交易凭空加钱。这不是科幻，是 10 月 9 日才公开的安全报告。
三个关键信息
XRP 账本存在一个可追溯至 2015 年的漏洞，理论上能让攻击者凭空创建可花的 XRP，从而打破该项目 1000 亿枚的固定供应上限。 据 CoinDesk 报道，漏洞源于账本内置交易撮合系统的计数错误：攻击者可以开几百个账户，每个都以极少量的代币挂单，换取异常大量的 XRP，然后用一笔支付同时吃下所有挂单。
攻击原理是「总价超出软件计数范围」。 应付的 XRP 总额太大，软件算不对，结果卖方账户被全额支付，而买方账户几乎没被扣钱——攻击者手里就多出了原本不存在的 XRP。账本每笔交易后都会检查有没有新增 XRP，但这次检查依赖的正是那个被算错的总数，此外「单账户接收上限」也不会触发，因为 XRP 被分散进了几百个账户。
RippleX 称未发现公网被利用的证据，并已修复。 漏洞由研究员 Cayden Liao 与 Veria AI 发现，9 月 22 日内部上报，工程师在独立服务器上复现了攻击。修复补丁随 9 月 25 日的 xrpld 3.4.1 软件版本发布，但当时并未说明修了什么。报道还提到，这属于 7 月以来一批「靠 AI 帮忙挖出」的长期隐藏加密漏洞之一。
王斗视角
最扎眼的不是漏洞本身，而是它藏了多久。2015 年就存在的计数错误，直到 2026 年才被人翻出来——十年里，这条链处理了天文数字的交易，账本上那个「总量校验」却始终信着同一个错误的数字。所谓「不可篡改」，管的从来是别人不能改，不管自己写错了没有。
第二扎眼的是修复方式：9 月 25 日发了补丁，却不告诉用户修了什么。这在安全圈是标准操作——先堵上，再解释，避免在补丁铺开之前先教会攻击者。但反过来看，这也说明一件事：如果没人发现这个洞，它可能至今还开着，而所有盯着「1000 亿总量」的机构投资者，都在信一个自己从未验证过的假设。
第三点值得所有人记住：报告明确说，这批漏洞是「AI 帮忙」挖出来的。这意味着传统的「代码写得好就安全」正在被改写——AI 能以人力做不到的速度和耐心，去翻十年没人碰过的角落。守方的工具在升级，攻方的工具也在升级，而账本不会因为你是「老牌公链」就给你豁免。