币圈界报道：

XRP支付系统现致命漏洞：64位溢出引发无中生有铸币风险

根据Xrpl.org发布的最新技术报告，一名研究者于9月22日通过XRPL漏洞赏金计划披露了一个长期潜伏在支付引擎中的严重缺陷。该漏洞允许攻击者在特定条件下生成可自由使用的虚拟XRP，而无需真实资产抵押。

漏洞根源：64位整数回绕引发异常支付逻辑

该缺陷源于支付引擎在处理多报价路径结算时对金额累加缺乏溢出检测。由于XRP余额采用固定上限的64位整数存储，当累计金额超过最大值后将发生数值回绕，导致计算结果骤降为极小值。

此时系统会向每个报价方全额支付，却仅向发起方收取微不足道的费用，从而形成理论上“无成本”的新币生成机制。这一异常行为在账本层面未被及时拦截，因不变量检查本身也使用相同未经验证的算术运算，同样受到回绕影响。

双重防护失效：分散式铸币规避了账户监控

尽管账本设计包含防止无中生有创建XRP的机制，但此次漏洞利用方式巧妙避开了关键检测点。由于铸造出的XRP被分配至数百个不同账户，单个账户余额变化未触发警报，致使系统未能识别异常。

此外，该攻击无需巨额初始资金，仅需几百枚XRP作为启动储备（后续可退还）及少量交易手续费即可实现，显著降低攻击门槛。

快速响应：跳过共识流程实现即时修复

不同于常规变更需经两周共识投票周期，本次修复直接在各节点升级后立即生效。项目方解释称，考虑到漏洞虽严重但实际利用可能性低，维持公开暴露状态的风险远高于短暂的不一致升级窗口。

RippleX Engineering团队在独立环境中复现了该漏洞，确认所生成的XRP具备完整可花费性，并将威胁等级由“重大”上调至“严重”。截至9月25日，已有超80%默认UNL验证节点完成更新至xrpld 3.4.1版本。

报告特别致谢发现者Cayden Liao与Veria AI，并指出由于普通交易极少触发此类极端条件，该缺陷可能已在代码中隐藏逾十年之久，直到近期才被系统性审计捕获。