根据周五发布的一份安全报告，XRP账本支付系统中的一个漏洞本可让攻击者在不付出成本的情况下创造大量新XRP，从而破坏该代币固定供应量的规则。
该漏洞据信可追溯至2015年，由研究员Cayden Liao和Veria AI发现，并于9月22日内部上报。Ripple旗下开发部门RippleX的工程师在一台独立服务器上复现了该攻击，并确认新创造的XRP可在后续交易中被花费。 https://nimg2.spbo1.com/uploads/img/2026-10-10/7533_0.jpg
RippleX表示，未发现该漏洞在任何公共网络上被利用的证据。
XRP账本于2012年启动时，全部1000亿枚XRP便已一次性创建，其软件设计确保之后永远无法增发。但这一安全漏洞本可让攻击者凭空创造XRP并在交易所出售，从而削弱使用该网络的机构所依赖的供应上限。
该攻击利用了账本内置的交易平台，账户可在此发布将一种代币兑换成另一种代币的报价。
攻击者会开设数百个账户，让每个账户以极少量某种代币换取异常大量的XRP，然后发送一笔单一付款，一次性买下所有报价。
所需支付的XRP总额过大，导致软件无法正确计数，因此攻击者的卖方账户会收到全额付款，而买方账户几乎不被扣款——使攻击者获得此前并不存在的XRP。
XRP账本会在每笔交易后进行校验，以确保没有新XRP凭空出现，但该校验依赖于同一个被错误计数的总额，因此会漏掉这一情况。针对单个账户可接收XRP数量的另一项限制也不会被触发，因为攻击将XRP分散到数百个账户中。
研究人员的方法只需几百枚XRP来开设这些账户，其中大部分可被收回，此外还需支付交易手续费。
开发者已于9月25日在账本服务器软件xrpld 3.4.1中发布修复，但未披露具体修复内容。
这一事件是自7月以来借助AI浮出水面的一系列长期隐藏的加密安全漏洞之一，其中包括导致至少1367枚BTC被盗的Coldcard钱包漏洞，以及迫使Core Lightning通知比特币节点运营商断开连接的多个漏洞。
延伸阅读：XRP账本为银行、稳定币和代币化基金增加新控制功能
