XRP Ledger修复2015年遗留溢出漏洞(可凭空“造出”XRP),同日Evernorth携4.73亿枚XRP登陆纳斯达克:基础设施成熟还是新风险?
发布日期:2026年10月13日 — 栏目:加密货币
两条与XRP相关的消息几乎同时出现,却引出了截然不同的两个问题。2026年10月9日,XRP Ledger(XRPL)团队披露,已修复支付引擎中一个可追溯到2015年的漏洞,该漏洞理论上可让XRP突破1000亿枚的总量上限。2026年10月12日,XRP财库公司Evernorth以代码XRPN在纳斯达克开始交易,持有约4.73亿枚XRP。一边是已被处理的底层风险,另一边是机构资金通过股票进入的新通道。本文区分哪些信息已得到证实,哪些仍属推测。
关键数据一览
| 指标 | 数值 | 备注 |
|---|---|---|
| 漏洞来源 | 2015年编写的支付引擎 | 64位算术累加未检查溢出 |
| 漏洞上报 | 2026年9月22日 | Cayden Liao与Veria AI,通过漏洞赏金计划 |
| xrpld 3.4.1补丁 | 2026年9月25日 | 当天默认UNL中超过80%的验证节点已升级 |
| 公开披露 | 2026年10月9日 | 暂无被利用的证据 |
| Evernorth(XRPN) | 2026年10月12日起交易 | 约4.73亿枚XRP,约3亿美元现金(毛额) |
| XRP价格 | 约1.39–1.40美元 | 据Crypto Briefing与U.Today,10月12日 |
溢出漏洞:靠“回绕”的加法凭空造币
据Bitcoin.com News报道,漏洞位于处理XRPL内置去中心化交易所交易的支付引擎中。当一笔支付同时消耗大量挂单时,系统使用未检查溢出的64位算术对金额求和,总数可能“回绕”成一个很小的数:卖方照常足额收款,买方却只被扣除这个很小的数字,差额就是凭空产生的XRP。更令人担忧的是,账本中本应发现未授权增发XRP的不变量检查也使用同样的算法,因此无法察觉。
据报告,攻击成本只是暂时锁定的几百枚XRP储备金加上正常交易费,但攻击者需要挂出数百个错误定价的挂单,再让一笔支付贯穿所有挂单。这类漏洞是“无声”的:一旦被利用,供应量可能在没有任何警报的情况下被稀释。
处置时间线:迅速,且无需投票
9月22日,Cayden Liao与Veria AI通过漏洞赏金计划上报,评级为“Major”。9月23日,RippleX复现漏洞,升级为严重(critical)级别并合并修复。9月25日,xrpld 3.4.1发布,当天默认UNL中超过80%的验证节点已运行新版本。该修复是直接的代码改动,不经过amendment投票流程,随各服务器升级而生效;源代码在部署完成后才公开。XRPL Operations账户已将3.4.1设为最低要求版本,并表示未发现该问题在任何公共网络上被利用的证据。同一版本还修复了一个与Batch交易封装有关的较低危漏洞,对应的fixBatchV1_2 amendment与BatchV1_1于10月9日在主网生效;报告称同样没有资金损失。
需要说明:以上时间线来自Bitcoin.com News对XRPL团队披露的整理,我们无法独立核实每个节点。即便如此,“发现、修复、升级完成后再披露”仍是安全社区公认的标准流程。
Evernorth登陆纳斯达克:披着股票外衣的XRP财库
Evernorth Holdings于10月9日完成与SPAC公司Armada Acquisition Corp. II的合并(Armada股东已于9月30日批准),并在因“行政延误”推迟后,于10月12日在纳斯达克以XRPN代码开始交易A类股票。据Crypto Briefing报道,公司持有约4.73亿枚XRP(按1.39美元计约6.57亿美元)及约3亿美元毛现金(未扣除费用)。股价首日上涨约5%,盘中最高一度涨13.43%,收盘仅高出约1.5%。前Coinbase Asset Management联席首席投资官Hugo Jeandesboz于当日被任命为首席投资官。
其策略并非单纯持币:公司希望通过DeFi收益策略、流动性管理、参与XRP生态以及资本市场操作,逐步提高每股对应的XRP数量。据U.Today,SBI与Arrington分别控制39.9%和19.9%的股份,Ripple有六个月锁定期;这些比例我们尚未与SEC文件核对。
更大的图景:银行基础设施与RLUSD
U.Today还报道,渣打银行通过迪拜分行与LMAX Group合作,推出Ripple稳定币RLUSD在XRPL上的托管服务,采用“抵押品镜像”模式,使机构客户无需把资产转到交易所即可用RLUSD作保证金。我们尚未找到银行方面的确认:渣打2026年9月16日关于为LMAX在DIFC及卢森堡提供托管的新闻稿并未提及RLUSD或XRPL。另据U.Today引述RWA.xyz,XRPL上的资产代表价值为44.7亿美元,稳定币市值11.8亿美元,30天代币化资产转账量为70.3亿美元,增长1456.8%。这些是二手数据,建议读者自行核对。
观点:什么变了,什么没变
第一,漏洞在披露前已被修复,就现有信息而言XRP供应量未受影响。第二,一个存在近十年的漏洞出现在被视为成熟的公链上,说明Veria这类AI审计工具正在发现人工审查遗漏的问题;这对安全是好事,但也意味着可能仍有旧缺陷尚未暴露。第三,Evernorth让XRP可以通过证券账户买入,但股票型财库通常相对净资产价值存在折溢价,首日13.43%的波幅也显示其高度敏感。
后续关注
- 10月14日公布的美国9月CPI(据CoinDesk预期同比3.6%)可能决定本周加密市场整体风险偏好。
- 未来数周XRPN股价与其所持XRP价值之间的差距。
- 渣打银行或Ripple是否正式确认RLUSD托管服务。
免责声明:本文仅供信息与分析之用,不构成投资建议。价格与数据变化迅速,请在决策前自行研究。