简讯
- XRP Ledger 的维护者披露并修补了一个严重的支付引擎溢出漏洞，该漏洞于 9 月通过漏洞赏金计划报告，可能允许攻击者创建伪造的 XRP。
- 该缺陷自 2015 年以来一直未被发现，因为没有任何正常支付会触发它，而且账本的“未创建 XRP”安全检查使用了同样有缺陷的算术。
- XRP Ledger 开发者表示，没有证据表明该漏洞曾被利用。
XRP Ledger 背后的开发者披露并修复了一个严重漏洞，若不加以处理，该漏洞可能让攻击者凭空创造 XRP，而这个缺陷在网络代码中潜伏了大约十年。
在周五发布的一份披露中，该账本的维护者表示，一名研究人员于 9 月通过 XRPL 漏洞赏金计划报告了该漏洞。该问题是支付引擎中的整数溢出，支付引擎是软件中处理支付的部分。
当一笔单一支付消耗了订单簿中数百个精心构造的报价时，买方应付的总额超过了系统能够存储的最大值，并“回绕”成了一个极小的数字。引擎向每个卖方全额支付，却几乎不向买方收费，差额相当于凭空铸造出了本不应存在的XRP。
更糟糕的是，账本内置的、旨在确认没有任何交易会创造XRP的安全检查使用了同样有缺陷的算术，因此它以相同的方式回绕，什么也没有发现。维护者表示，攻击者本可以在单笔交易中创造出远超该代币总供应量的可花费XRP，然后将其转移、交易或发送到交易所。
比特币BTC · USD
$82,731−2.98%
10月5日10月7日10月9日10月10日10月12日
$86.6k$84.6k$82.7k$80.7k
24小时最高最高$84,231
24小时最低最低$82,379
成交量成交量$1.0B
市场预测赔率由 Myriad
→用 USDT 购买 比特币
由 Jupiter 提供支持
RippleX 工程师确认，该漏洞自 2015 年当前支付引擎编写以来就一直存在，并且一直未被发现，因为没有任何普通支付会接近触发溢出。
团队表示，没有证据表明该漏洞曾被利用。修复程序已于9月25日在3.4.1版本中发布，当天网络超过80%的可信验证者都在运行该版本。
值得注意的是，该补丁绕过了账本通常的修正流程，该流程要求验证者投票并等待两周后变更才能生效，这是自该系统十多年前推出以来，首次有交易处理相关的变更以这种方式被刻意发布。维护者表示，漏洞的严重性证明了这一做法的合理性，因为开源修复会暴露该漏洞，同时使其在数周内仍可被利用。
此次披露与今年震动Zcash的伪造恐慌如出一辙，当时这种隐私币紧急修补其屏蔽池中的一个健全性漏洞，该漏洞可能允许伪造代币。那一事件导致ZEC暴跌，直到该网络的Ironwood升级才得以解决。
XRP也未能在这周安然无恙。该代币周一交易价格为1.38美元，24小时内下跌1.6%，在主要加密货币中表现最差，过去七天累计下跌9.4%。
