XRP账本修补十年漏洞 可凭空创造数十亿幻影XRP

研究人员发现一个严重漏洞,允许攻击者在不资助交易的情况下生成可支出的XRP,在该缺陷潜伏十年后促成紧急软件发布。

XRP账本开发团队已修补了一个十多年未被发现的严重漏洞,该漏洞本可能允许恶意行为者凭空创造价值数十亿美元的XRP代币。安全研究人员演示了攻击者如何利用该缺陷在发送者实际上未资助支付的情况下生成可支出的XRP,从根本上破坏账本供应的完整性。

该漏洞存在于XRP账本核心协议的支付处理逻辑中。正常情况下,当用户发送XRP时,账本会从发送者余额中扣除金额并将其记入接收者账户。该漏洞允许精心制作的交易绕过扣除步骤,同时仍向接收者记账,实际上凭空创造出新的XRP,然后可以在交易所进行交易、转移或出售。

发现该缺陷的研究人员私下向Ripple Labs和XRP账本基金会报告,触发了紧急协调披露流程。开发团队发布了账本软件的修补版本,并敦促所有验证者和节点运营商立即升级。由于XRP账本依赖于涉及验证节点的共识机制,该补丁需要在整个网络快速采用以防止被利用。

潜在影响令人震惊。XRP交易价格约为0.50美元,流通供应量约为530亿枚代币,即使是创造几十亿枚代币的适度利用也可能导致价格崩溃并摧毁对该资产的信心。该漏洞存在十年引发了对管理数百亿美元价值的加密货币项目代码审查实践的质疑,特别是那些在现代安全审计成为标准之前启动的项目。

对于XRP持有者而言,随着补丁的部署和验证者的广泛采用,眼前的风险已经过去。然而,这一事件凸显了区块链系统隐藏的脆弱性。与传统金融基础设施(通常可以回滚错误或撤销交易)不同,如果攻击者通过混币服务或去中心化交易所足够快地转移被盗或伪造的代币,去中心化账本上的成功利用可能是不可逆的。

XRP账本开发团队未披露在补丁之前是否有任何攻击者实际发现并使用了该漏洞,尽管链上分析公司现在正在梳理历史交易数据以查找异常。预计发现该漏洞的研究人员将在所有节点有足够时间升级后发布详细的技术报告,使更广泛的安全社区能够从该缺陷中学习并审计类似代码库以查找可比问题。