XRP Ledger 修复可能制造假冒代币的支付溢出漏洞

目录

• 你可能想了解
• 主题
• 重点摘要表
• 后续……

你可能想了解

• 支付系统中的算术错误怎么会让人制造出假冒 XRP？
• 这个漏洞为何近十年未被发现，开发者又是如何控制风险的？

主题

维护 XRP Ledger 的开发者披露并修复了网络支付引擎中的一项重大漏洞。若遭利用，攻击者可能得以制造并非由账本合法供应量支持的 XRP。这个问题于 September 通过 XRPL 漏洞悬赏计划报告，维护者表示，没有证据显示有人曾利用此漏洞。

此漏洞涉及整数溢出，这是一种编程错误，会在计算结果大到超出系统所选数据类型可表示的范围时发生。本例中的脆弱组件是支付引擎，也就是在账本上计算及处理支付的软件。在一般情况下，支付金额远不至于触及可能引发此缺陷的上限，这也有助于解释为何它长时间未被发现。

这个漏洞可通过精心设计、会消耗订单簿中数百笔挂单的支付来触发。订单簿是买卖双方提出交易报价的地方。支付引擎加总买方在所有这些挂单中应付的金额时，总额可能超过系统可存储的最大值。计算没有安全地处理超出部分，而是回绕成一个极小的数字。

这项算术错误造成了危险的收付落差。引擎可能向每位卖方支付全额，却几乎没有向买方收款。支付给卖方的价值与向买方收取的金额之间的差额，实际上就等于新产生的 XRP。根据维护者描述的最糟情况，单笔交易就可能产生远超代币总供应量、且可供花用的 XRP。

假冒 XRP 不一定会只留在原始交易中。维护者表示，攻击者可能将其转移、交易，或送往交易所。这些可能性让问题格外严重：一旦非法代币进入流通或抵达交易平台，就可能为账本用户及市场参与者带来更广泛的风险。

第二项缺陷让情况更加令人担忧。账本设有一项安全检查，旨在确认交易没有产生 XRP。然而，这项检查依赖与支付引擎相同的错误算术。支付计算发生回绕时，验证计算也可能以相同方式回绕，导致检查无法察觉差异。换言之，原本用来防止不当产生代币的机制，竟也有可能造成问题的同一弱点。

RippleX 工程师表示，这项漏洞自当前支付引擎于 2015 年编写以来便一直存在。它之所以一直未被触发，是因为一般支付不会接近触发溢出所需的条件。研究人员精心设计的情境显示，一笔交易可以合并足够多的订单簿挂单，使计算超出系统可表示的范围。因此，这项错误自 2015 年起便已存在，但维护者表示，没有证据显示它曾遭利用。

修正版本 3.4.1 于 Sept. 25 推出。当天，网络上超过 80% 的可信验证者已运行修补版本。验证者是协助确认交易并维持账本运行的网络参与者。因此，采用修正版本是缩短缺陷可能构成实际威胁期间的重要一环。

这次应对也与 XRP Ledger 通常的修正案程序不同。按照正常流程，验证者会针对变更投票，并等待两周才会生效。维护者针对这项交易处理变更跳过了该流程，并表示，这是系统推出十多年里，首次刻意以这种方式发布此类变更。

采取例外做法的原因，是为了避免在相关防护措施尚未全部到位前披露漏洞。维护者表示，若按照一般流程发布开源修正，可能会让漏洞曝光，却仍可遭利用数周。他们认为，漏洞的严重性足以支持比一般修正案时程更迅速的处理方式。这凸显了安全上的艰难取舍：透明度有助于审查与建立信任，但过早披露仍存在的漏洞，可能会让潜在攻击者取得可利用的信息。

这起事件令人想起今年早些时候 Zcash 遭遇的假冒代币风波。这款注重隐私的加密货币迅速修补了其屏蔽池中的健全性漏洞；屏蔽池是支持私人交易的功能。该漏洞可能导致伪造代币，事件发生后 ZEC 价格大跌，直到网络的 Ironwood 升级才解决问题。这种比较并不代表两个漏洞完全相同；两起事件都凸显了账务或验证逻辑出错，可能危及人们对数字资产供应规则的信心。

XRP 在市场上也经历了艰难的一周。周一，该代币的交易价格为 $1.38，24 小时内下跌 1.6%。来源称，这是主要加密货币中表现最差的。XRP 过去七天也下跌了 9.4%。这些数据提供了市场背景，但来源并未证明漏洞披露导致价格变动。

总体而言，这起事件说明，支付计算与供应量检查必须设计成即使出错也能安全应对，尤其是在交易可合并许多个别挂单的情况下。它也显示，漏洞未被发现不一定是因为系统缺乏防护措施，而可能是因为防护措施依赖与其监控组件相同的错误假设。独立验证、仔细测试极端数值，以及开发者与验证者之间及时协调，对维护账本的账务规则都很重要。

重点摘要表

后续……

当前的首要任务，是确保验证者及其他相关参与者持续使用已修补的软件，并由独立人员审查修正后的计算方式。由于此漏洞同时涉及支付处理，以及原本用来防止未经授权产生 XRP 的检查，持续检查相关算术运算与验证流程将十分重要。

这起事件也带来一些长期问题：去中心化网络应如何应对重大漏洞。紧急快速修正可降低风险，而既有的修正案程序则能留出审查与广泛协调的时间。XRP Ledger 的应对显示，维护者可能会认为，严重且可遭利用的漏洞值得例外处理——但这类决策需要清楚沟通并谨慎跟进后续情况。

对用户与观察者而言，目前掌握的信息有一点值得安心：维护者表示没有发现遭利用的证据，而且修正版本已经部署。不过，这起事件提醒我们，数字资产的完整性不只依赖其明订的供应规则，也依赖负责计算、检查及执行这些规则的软件是否准确。