xrp ledger漏洞为什么能凭空造币 补丁绕过了投票 184倍供应只差一个数

9 月 22 日，一家叫 Veria Labs 的安全公司把一份报告递到 XRP Ledger 的开发团队手上。报告描述的东西不复杂：支付引擎在把多笔报价合并结算时，会把总额加起来放进一个有上限的整数里，如果总和大到越界，计算不会报错，而是绕回一个很小的数。买家只付出这个被绕回来的小数目，每个报价的卖方却按自己开出的全额被记账，差额就是新造出来的币。

三天后补丁上线。Cointelegraph 在 10 月 12 日的报道里写得很直白：这是十多年来第一次刻意绕开正常修订流程。XRP Ledger 的所有规则变化都要走修订（amendment）投票，验证人公开表态、维持两周、超过八成支持才算启用。这次没有走。

这个漏洞到底绕过了哪一步算术

XRP 的余额是 64 位整数，有一个固定的最大值。正常交易里，单笔金额远够不到这个上限，所以越界看起来是个永远不会发生的情况。问题出在结算环节：一笔支付可以一次吞掉账本上几百张挂着的报价单，引擎要为每一张单子算出“我应该给你多少”，再把这些数加起来从付款方扣除。所有者按单笔全额入账，扣款却按溢出后的小数执行，两边的账在同一条交易里就被拆开了。

Veria Labs 的联合创始人 Cayden Liao 给 Cointelegraph 的原话是可以一笔交易印出全部供应的 184 倍。按今天的总量算，那是 18.4 万亿枚。他同时强调，这种攻击必须故意构造价格畸形的报价单，正常交易碰不到，也没有证据显示有人在主网上用过。

把这件事放进十年前的环境里看，会更难接受一点。2015 年这个 bug 就写进了代码，而这十年里 XRP 从一枚几分钱涨到过三美元以上，期间经过无数次审计和分叉讨论。它躲过去的原因不是没人看代码，而是单个环节看都合规，只有把两个低危问题串起来才越界。Liao 的说法是，这也是 AI 工具这次能扫出来的原因：它不按人习惯的顺序去读，而是把整条调用链摆在一起找组合。

为什么这次不能等两周

正常的修订流程是公开的。一条修订被提出后，所有运行节点的人都能在代码里看到它改了什么，验证人投票的态度也是公开的，要连续两周保持八成以上支持才启用。这套设计的价值在于“没人能偷偷改规则”，代价是把改动提前摆在所有人面前。

放到这个漏洞上，代价变成了风险本身。补丁的代码如果按修订流程公开两周，等于给所有攻击者一份带注释的说明书，而能利用它的人只需要构建几百张报价单。基金会事后的解释是，这个决定由 XRPL Foundation、RippleX、核心开发者与验证人共同评估后做出，没有任何一方可以单独拍板。他们同时强调 3.4.1 版本本身仍然是靠正常修订投票、超过八成验证人支持两周才成为网络必需。

这个区分很关键，也很容易被读混。发一版新软件不等于改规则。软件里写着对新规则的理解，但新规则要不要生效，仍然由投票决定。9 月 25 日那次紧急发布，把“修漏洞的代码”和“让规则生效的开关”拆成了两件事：代码先到，开关照旧慢慢投。

Binance全球顶级交易所 v3.22.4

类型：金融理财大小：306.2M语言：多国语言[中文]时间：11-2评分：10.0

投票的开关还在，但决定权在别处

我在 11 月 5 日直接查了主网节点的修订台账。当前有 115 条修订记录，96 条已经启用，19 条还没启用；没启用的里面还有 8 条是当前软件版本支持的（ConfidentialTransfer、LendingProtocol、DynamicMPT、SingleAssetVault、CryptoConditionsSuite、Sponsor、XChainBridge、fixXChainRewardRounding）。这说明投票这套机制本身运转正常，每天都有条目在排队、在攒票、在等两周倒计时。

但那 19 条里，也有源码已经被拿掉、永远不会再被投票的。xrpl.org 的修订文档用了一个专门的词：Vetoed。一条修订如果在没启用的情况下被从代码里删掉，网络就认为它被否决了。这个机制不需要任何人投票，只需要维护者不再把它放回代码里。

把这两件事并排看，9 月那次的争议就有了更清楚的轮廓。基金会说“每一台验证人和节点自己决定运行什么软件”，这句话在技术上完全成立；xrpl.org 也写明，服务器一旦缺少新规则的代码就会进入 amendment blocked 状态，无法判定账本有效性、无法处理交易、无法参与共识，而这与它的投票设置毫无关系。也就是说，投票决定规则能不能生效，而谁跑哪版代码决定投票里有没有你。补丁能在几天内铺开，靠的不是投票，是运维层面的快速跟进。

Cyber Capital 的 Justin Bons 因此说把 XRP 当去中心化资产卖给散户是“彻头彻尾的欺诈”，理由正是那次补丁只发二进制、暂不公开源码，还推动运行者升级。独立验证人 XRP Kuwait 的回应是另一面：多个独立运营者评估同一件事、互相沟通、得出相同结论，并不等于放弃独立性，“协调不等于控制”。两边说的是同一组事实，判断却相反，分歧点在于你把“几天内全网跟进”看成共识还是看成协同行动。

数字本身也在变小，这一点容易被忽略

10 月 11 日那篇摘要里，Liao 说这个漏洞“把全部 940 亿美元置于风险中”。一个月后，同样一枚币的总市值是 797 亿美元（CoinGecko 11 月 5 日读数；币安 XRP/USDT 11 月 5 日收 1.2596 美元，较前一日跌 3.49%）。差出来的 143 亿美元不是重点，重点是这类“把整条链押上去”的表述，锚定的是当时的价格，而不是协议本身的风险量级。协议层面真正的数字是比例：184 倍的供应，跟币价无关。

欧易okx交易所 v6.195.1

类型：金融理财大小：549.4M语言：中文时间：11-1评分：10.0

顺着这个思路再往下看一层，会发现 XRP 的暴露面比很多公链更集中。流通量 633.5 亿枚，总量 999.86 亿枚，最大上限 1000 亿枚，接近总量三分之一的币还在托管里按月度释放。这种结构让“增发”这件事在 XRP 上本来就是一个可被追踪的公开日程，多出来的 184 倍供应如果真的落地，第一个坏掉的不是价格，而是托管释放表本身的可信度：一个按月解锁的资产，凭空多出 184 倍的量，解锁节奏就彻底失去意义。

同类问题在别处怎么被处理

xrpl.org 的修订列表里，还有一条 fixCleanup3_4_0，文档写的是修复委托支付里的一个越权：只被授予 PaymentBurn（销毁）权限的账户，在某些情况下也能铸造新的可替换代币。这条修订目前不在主网台账上，原因很简单：当前节点运行的 libxrpl 是 3.3.0，还不认识它，查询直接返回空。同一个“权限被当作能力”的坑，在销毁和铸造之间又出现了一次，只是这次有正常的修订流程可以走。

它给了一个对照：能公开慢改的问题，就走两周投票；不能公开的问题，就只能靠紧急发布加运维跟进。两套路径同时存在于一个网络里，长期看一定会有人问“那到底哪套才是常态”。这个问题没有标准答案，但可以看清一条边界：紧急路径之所以能用，是因为它极少被使用；一旦变成常规选项，投票那套流程就只剩下形式。

该怎么读这条新闻

如果你是持有者，这件事改变的不是你对 XRP 的估值模型，而是你对“规则何时生效”的判断方式。以后看到 XRPL 的修订新闻，先分清它说的是发了一版软件、还是有一条规则通过了投票，两者的时间尺度可以差几周。这次补丁刚发布时，很多人把它当成“网络改了规则”，其实规则开关没动。

如果你关心的是更普遍的问题，这件事给的是一个可复用的判断：一条链的抗攻击能力，最终取决于它的运维层有多快能统一行动，而不是代码有多干净。代码干净决定漏洞出现的频率，统一行动的效率决定漏洞被利用的窗口。XRP 这次两样都及格了，但代价是把“谁有权力让全网换软件”这个问题，从幕后搬到了台前。

至于那 18.4 万亿枚，它从来没有存在过。真正留下来的，是“一个数溢出就能让整条链背锅”这个判断，以及一个绕开投票的先例。先例本身不危险，被反复使用才危险。

资料来源

Cointelegraph，XRP Ledger defends emergency patch for unlimited XRP bug，2026 年 10 月 12 日：https://cointelegraph.com/news/xrp-ledger-defends-emergency-patch-for-unlimited-xrp-bug

Cointelegraph，Ledger attack spreads to EU, AI finds '18 trillion XRP' bug: Hodler's Digest，2026 年 10 月 11 日：https://cointelegraph.com/news/ledger-attack-spreads-to-eu-ai-finds-18-trillion-xrp-bug-hodlers-digest

XRP Ledger 官方修订文档：https://xrpl.org/amendments.html 与 https://xrpl.org/known-amendments.html

主网修订台账与账本时间：s1.ripple.com RPC feature / server_info / ledger，2026 年 11 月 5 日 15:32 UTC 读取

流通量与总市值：CoinGecko ripple 接口，2026 年 11 月 5 日；价格与成交：币安 XRPUSDT 日线，2026 年 11 月 5 日