XRP账本整数溢出缺陷逾十年未被发现 基金会说明原因

XRP账本（XRPL）基金会近日就一项存在多年的整数溢出缺陷作出说明。该缺陷自2015年前后可能存在，长期未在正常使用中显现。基金会指出，普通用户的支付活动无法接近触发条件，需要数百笔专门构造的交易才可能触及。

缺陷的基本情况

公开信息显示，该缺陷由研究员 Cayden Liao 与 Veria AI 于9月22日发现并向内部报告，RippleX 随后发布修复补丁。基金会表示，未发现该缺陷被实际利用的证据，公共网络上没有出现未经授权的XRP生成，目前流通中的XRP约为999.86亿枚。

XRP账本是开源、去中心化的一层区块链，其原生代币XRP在2012年账本上线时一次性创建，总量上限为1000亿枚，设计上不新增发行。XRP主要用于支付交易手续费，并在账本内置的去中心化交易所中充当桥接货币。

潜在触发机制

按基金会披露的技术细节，该缺陷属于整数溢出类型：当某笔交易的数值规模超过系统允许的最大数值上限时，计数值会回绕为极小数值。这一过程可绕过常规资金检查，使卖方账户按完整金额入账，而买方被计收的成本接近于零，差额在账面统计上等同于新增的XRP，从而影响总量数据。

在理论情形下，操作方可通过多个账户挂出金额极高的代币卖单，再以买方身份一次性买入。账本会向卖方账户记入大量XRP，而对买方仅记录极小的成本数值，相关操作需分散在数百个账户中完成。

长期未被察觉的原因

基金会解释称，该缺陷多年未被发现，主要原因是触发门槛极高。账本在每笔交易后执行的校验逻辑依赖同一个被错误统计的数值，因此未显示异常；针对单一账户可接收XRP数量的上限也未触发，因为相关操作被分散至大量账户。

基金会同时提到，人工智能工具正在加快此类缺陷的发现速度。为提升后续安全性，该基金会计划加大AI对抗性测试的应用力度，推进形式化验证，并强化漏洞赏金计划。

信息来源：CoinDesk