广东
XRP 分类账基金会表示，正常参数从未触发可能打破 XRP 供应上限的漏洞，这就是为什么多年来该漏洞一直未被发现的原因。
要点
一个 XRP 账本漏洞十多年来一直未被发现，攻击者可能利用该漏洞创建数十亿枚 XRP，从而破坏该加密货币 1000 亿枚代币的供应上限。
整数溢出漏洞需要数百笔精心构造的交易，才能使操纵的成本回绕到接近零的值，同时卖家账户收到全额付款。
研究人员于 9 月 22 日报告了该漏洞，RippleX 在未发现任何利用该漏洞或在公共网络上未经授权创建 XRP 的证据后对其进行了修复。
据 XRP 账本基金会称，一个可能让攻击者凭空印出新 XRP (XRP) 的漏洞在 XRP 账本中存在了十多年，却无人察觉，因为正常的用户活动从未接近触发该漏洞。
这个存在了11年的漏洞之所以重要，是因为它威胁到了XRP持有者所依赖的核心规则：XRP的总供应量永远不会超过2012年区块链诞生时创建的1000亿枚代币。该漏洞于9月22日由研究员Cayden Liao和Veria AI发现，并在内部进行了报告。
据RippleX称，此次修复并未造成任何损失。RippleX基金会表示，没有创建新的XRP，目前仍有约999.86亿XRP在流通。
XRP Ledger (XRPL) 是一个开源的去中心化 Layer-1 区块链。其原生代币 XRP 的设计初衷就是为了防止增发新代币。XRP 主要用于支付交易费用，并在 XRP Ledger 内置的去中心化交易所 (DEX) 上进行货币交易。
然而，据信自 2015 年以来就存在的这个漏洞，至少在理论上提供了一种绕过它的方法。
以下是它可能运作的方式
该漏洞源于一种被称为“整数溢出”的漏洞，就像老式街机游戏的得分计数器一样，每次达到最大值时都会重置为零。
在 XRP 分类账案例中，该漏洞意味着一旦交易金额超过系统允许的最大数值限制，交易金额就会回绕到一个非常小的数字。这绕过了标准的资金检查机制，使卖家获得全额 XRP，而买家几乎无需支付任何费用，实际上是凭空创造了差价，人为地提高了 XRP 的总供应量。
攻击者可以设置虚假账户，发布价值天文数字般 XRP 的虚假代币销售信息。然后，攻击者可以冒充买家，用 XRP 付款，一次性买下所有代币。账本会将数十亿个有效的 XRP 记入卖家账户，而由于 XRP 数量庞大，账本记录的买家总成本仅为几美分。
通过绕过标准的资金检查，该系统实际上可以凭空创造差额，使攻击者能够获得数十亿个新的 XRP，并在外部交易所进行清算。
为什么这件事没有引起注意？
XRP 基金会在周一发布的一份解释性文件中表示，该漏洞之所以未被发现，主要是因为它需要大规模的操作才能触发。
“任何正常的支付都远不足以触发这种效应。这需要数百次精心策划的操作，”声明中写道。
账本自身的安全措施也未能奏效。正如 CoinDesk 上周报道的那样，每次交易后都会运行的检查机制（用于确认没有新的 XRP 出现）依赖于同一个错误的总数，因此没有发现任何异常。此外，对单个账户可接收 XRP 数量的单独限制也没有触发，因为潜在的攻击会将 XRP 分散到数百个账户中。
该基金会指出，人工智能正在加速发现此类漏洞，无论对于“坏人”还是“好人”而言皆是如此。为确保未来的安全，该基金会计划积极应用人工智能对抗性测试，实施形式化验证，并加强其漏洞赏金计划。
“随着项目的推进，你们将会听到更多相关信息，”声明中写道。
本文仅供信息分享，非商业用途，版权归原作者所有。如有侵权请联系删除。内容不构成投资建议。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
