XRP Ledger 修复支付引擎漏洞
XRP Ledger 最近悄然修复了一个源于2015年的支付引擎漏洞，该漏洞可能允许攻击者在仅需几百个XRP作为储备的情况下，创造出可支配的XRP，超出网络的固定供应。这个问题存在于XRP Ledger内置的去中心化交易所（DEX）中，用于结算支付的代码中。
根据昨天发布的官方漏洞披露报告，当单笔支付消耗多个报价时，支付引擎使用未经检查的64位算术运算累加金额。
通过将这个总和推高到足够高的值，它发生了“环绕”，这就是整数溢出的表现。一个巨大的数字随后变成了一个小数字，而交易另一方的卖家得到了全额支付，但买家只被收取了环绕后的微小总额。这个差额就是之前从未存在的XRP。
漏洞的安全检查与攻击方式
虽然账本确实运行了一项安全检查，称为不变性（invariant），旨在确认不会创造出任何XRP，但该检查使用的也是相同的未经检查的数学，因此对它所要捕捉的确切失败视而不见。报告追溯了这一缺陷，指出它源于2015年编写的当前支付引擎。
报告称，攻击者需要锁定几百个XRP作为储备（在对象被移除后会返还），加上普通的交易费用。攻击者需要放置数百个故意定价错误的报价，然后通过这些报价路由一笔支付。
潜在影响与修复措施
最令人担忧的是潜在的收益，RippleX称该漏洞为关键漏洞，因为在一次有效的交易中，可能会创造出超出总供应量的可支配XRP。XRP的整个主张基于1000亿个代币的硬性上限，因此这种静默铸造将直接影响该资产的核心承诺。
这就是为什么像Whale Insider这样的帖子将其描述为可能“召唤出数十亿个”XRP的漏洞。
修复的时间线相当简短，具体如下：该补丁并未经过通常的修订投票，而是作为直接代码更改在3.4.1版本中发布，并在每个服务器升级时生效。源代码在部署后才发布，这是为了避免向攻击者提供地图。XRPL Operations账户随后将3.4.1设为最低要求版本，并补充道：我们没有发现任何证据表明该问题在任何公共网络上被利用。
其他修复与市场动态
在同一版本中还修复了一个较低严重性的漏洞，涉及批量交易的包装，其修复位于fixBatchV1_2修订中，该修订于10月9日在Mainnet上与BatchV1_1一起上线。报告称，该漏洞也没有导致资金损失。
此次披露恰逢加密安全领域的艰难一周，Ledger设备的损失据Bitcoin.com News报道，达到了估计9340万美元。最后，Ripple支持的Evernorth准备于周一在纳斯达克以XRPN的名义开始交易，账面上大约有4.73亿个XRP。XRP还在去中心化金融（DeFi）领域扩展，Firelight最近在网络上激活了保险库保护。
马来西亚法院已对Ripple发出对Seamless Group持有的60% Tranglo股份的扣押令，该持股的估值为……
