币圈界报道：

XRP支付系统现隐蔽漏洞：64位溢出引发无成本铸币风险

根据Xrpl.org发布的最新报告，一名独立研究者于9月22日通过XRPL漏洞赏金计划提交了一项关键安全缺陷。该问题源于支付引擎在处理多路径报价时的计算逻辑缺陷，可能导致攻击者凭空生成可自由使用的XRP代币。

长期潜伏的代码隐患暴露于公开环境

该漏洞自2015年支付引擎初始开发阶段即已存在于核心代码中，持续时间长达近十年。尽管其潜在危害严重，但目前尚无任何证据表明该漏洞曾在公共网络上被实际利用。该问题最终通过官方漏洞赏金机制被识别，并在9月发布的xrpld 3.4.1版本中完成修补。

64位整数回绕机制如何制造虚假资产

漏洞根源在于支付引擎在合并多个订单簿报价时对金额总和的计算方式。由于XRP余额采用固定上限的64位整数存储，而相关加法操作缺乏溢出检测机制，当交易路由经过大量定价异常的报价时，总值可能突破上限并发生回绕，转为极小数值。

此时系统将向每个报价方全额支付，却仅向发起方收取这一极低金额，从而产生原本不应存在的额外XRP。此过程无需大规模初始资金投入，仅需数百枚XRP作为启动储备（后续可退还）及少量交易费用即可实现。

值得注意的是，两个现有防护机制均未能触发警报：账本不变量检查因使用相同未验证算术进行求和，同样出现回绕；而账户级余额监控也未激活，因生成的XRP被分散至数百个不同地址，未达到单个账户异常阈值。

跳过常规共识流程的紧急修复决策

通常情况下，涉及交易处理逻辑变更的修正案需经验证者集体投票并等待两周共识窗口期后方可生效。然而，此次修复采取了例外措施——在服务器完成升级后立即启用，跳过了标准投票周期。

项目方解释称：“鉴于该漏洞的实际利用可能性较低，维持一个长期公开可见的脆弱状态所带来的风险远高于短暂的部署窗口。” 为验证后果，RippleX Engineering团队在隔离环境中复现了漏洞，确认所生成的XRP具备完全可花费性，并将威胁等级从“重大”上调至“严重”。

截至9月25日，已有超过80%的默认UNL验证节点完成xrpld 3.4.1版本升级。该发现归功于研究者Cayden Liao与Veria AI，报告指出，由于普通支付场景极少触发此类溢出条件，该缺陷得以长期隐匿未被察觉。