「安全不是一個產品，而是一個持續的過程。」這句經常被資訊安全領域引用的觀念，放在XRPL這次的漏洞事件中格外貼切。

一項潛伏近十年的程式漏洞，竟讓研究人員在本地測試環境中，成功模擬單筆交易產生約18.45兆枚XRP。這個數字約為XRP初始1,000億枚總供應量的184倍，足以讓市場重新審視區塊鏈最基本的資產供應規則。

不過，必須先釐清一件事：18.45兆枚XRP是概念驗證中的理論結果，不代表主網真的出現這些代幣。 XRPL官方表示，目前沒有發現該漏洞曾在任何公開網路遭到利用，XRP實際供應量也沒有因此增加。

真正值得關注的，是一個看似普通的數值計算錯誤，為何能同時繞過交易處理與供應量安全檢查。

兩個計算錯誤，如何動搖XRP的供應規則？

XRPL在網路啟動時便建立1,000億枚XRP，協議沒有正常增發XRP的交易機制，交易手續費還會持續銷毀代幣。因此，固定供應量不只是市場認知，也是這套帳本運作的重要基礎。

這次漏洞影響xrpld 3.4.0及更早版本。相關程式碼可能自2015年現行支付引擎建立時便已存在，直到今年9月才由研究人員透過XRPL Bug Bounty計畫發現。

問題出在兩個64位元整數溢位漏洞可以串聯利用。當付款引擎一次處理大量訂單時，系統會累加交易涉及的XRP數量。如果總和超過整數可表示的範圍，數值就可能繞回較小的結果。

攻擊者可以利用數百筆刻意設計、價格極端異常的訂單，讓付款方只被扣除少量XRP，賣方帳戶卻依原始訂單收到完整款項。兩者之間的差額，就可能形成未經正常增發機制產生的XRP。

更嚴重的是，XRPL原本用來防止代幣憑空產生的XRPNotCreated檢查，也存在類似的溢位風險。第一道交易計算出錯後，第二道安全檢查竟可能將異常數值解讀成看似正常的結果。

18.45兆枚XRP從何而來？攻擊成本高嗎？

Veria Labs的概念驗證使用256個帳戶與特殊訂單，模擬一次交易產生約18,446,744,073,709枚XRP。由於單一帳戶有餘額上限，這些代幣必須分散到多個帳戶中。

研究人員也確認，透過漏洞產生的代幣能在後續交易中正常轉移。這代表問題不只是畫面顯示錯誤或帳本計算異常，而是可能影響實際資產流通的重大風險。

攻擊不需要控制驗證節點，也不必取得特殊權限。依照漏洞報告，前期成本主要是數百枚XRP的帳戶與訂單準備金，以及一般交易手續費；部分準備金在相關物件移除後還能取回。

但這不表示任何人都能輕易觸發漏洞。攻擊需要刻意建立大量不符合正常市場情況的異常訂單，普通付款或一般交易並不會自然觸發相同問題。

這組數據真正揭示的，是攻擊門檻與潛在破壞程度之間可能存在巨大落差。當漏洞能影響資產供應規則，即使攻擊需要事前準備，也不能只用操作難度判斷風險。

XRPL為何跳過常規修正程序？

這次事件另一個焦點，是XRPL罕見採取緊急軟體升級，而沒有等待一般的Amendment規則啟用流程。

Veria Labs與研究員Cayden Liao於9月22日提交漏洞，RippleX當天完成重現。修補程式在9月23日合併進xrpld 3.4.1分支，正式版本於9月25日發布。當天，超過80%的預設UNL驗證節點已升級至新版。

一般而言，XRPL透過Amendment機制修改交易處理規則，新規則須連續兩週獲得超過80%受信任驗證者支持，才會全面啟用。

這次開發團隊選擇讓修正隨軟體升級生效，沒有等待上述投票與啟用程序。官方解釋，若先公開修補程式碼，再等待節點升級及規則啟用，攻擊者可能反向分析程式差異，推測漏洞位置，而主網仍可能暴露數週。

當然，緊急升級也不是沒有代價。若攻擊恰好發生在新舊版本並存期間，不同版本節點可能對同一筆交易產生不同判斷，進而增加帳本分歧甚至網路暫停的風險。

這是一場安全與共識穩定之間的取捨。XRPL團隊的判斷是，相較於讓可能破壞供應規則的漏洞繼續存在，短時間承擔版本不同步的風險更可控。

AI找出漏洞，25萬美元獎金卻引發爭議

漏洞發現過程同樣具有指標意義。Veria Labs表示，其AI資安代理在9月21日分析rippled程式碼時找到問題，隔天便完成可運作的概念驗證，之後由研究人員確認並正式提交。

值得注意的是，這並非單一程式錯誤就能直接形成完整攻擊。Veria認為，支付引擎BookStep的溢位問題與XRPNotCreated安全檢查的溢位問題，必須結合起來，才構成能夠產生並轉移XRP的攻擊路徑。

XRPL最終向Veria Labs支付25萬美元，達到Bug Bounty計畫的最高級別獎金。不過，鏈上調查員ZachXBT認為，這類可能威脅整體供應規則的重大漏洞，獎金應至少達到七位數美元。

雙方觀點反映出區塊鏈安全領域的一個現實問題：漏洞獎金不只是成本支出，也會影響研究人員是否願意優先向官方披露，而不是選擇其他處理方式。

AI能否持續發現過去被忽略的複合漏洞，仍需要更多案例驗證。但這次事件至少顯示，自動化程式分析有機會協助找出傳統審查難以察覺的問題；另一方面，AI產生的結果仍需要可重現的測試與專業人員驗證。

真正的警訊，是修補完成後仍要驗證

xrpld 3.4.1已在訂單加總過程加入溢位檢查，超出範圍的付款將直接失敗；XRPNotCreated也改用更大的計數器，降低同類問題再次繞過供應量檢查的風險。

XRPL團隊也宣布調整安全流程：未來所有標記為已修復的漏洞，都必須使用最初的攻擊測試再次驗證Release Candidate，確認問題無法重現後，才可正式結案。

說到底，這次事件最值得記住的，不是測試環境中出現了多麼驚人的數字，而是兩道原本各自存在的安全機制，竟可能被同一種數學錯誤同時突破。

對XRP持有者而言，目前沒有證據顯示主網曾遭利用，也沒有資料顯示實際供應量因此增加；但對整個區塊鏈產業而言，這是一個明確提醒：程式碼開源、節點去中心化與既有安全檢查，都不能取代持續的測試與獨立驗證。

接下來，市場需要觀察的，是XRPL修補後的驗證結果、緊急升級機制是否得到進一步完善，以及AI資安工具能否在其他區塊鏈系統中找到類似的複合風險。

FAQ

FAQ 1：XRPL真的曾經增發18.45兆枚XRP嗎？

沒有證據顯示公開XRPL主網曾增發這批XRP。18.45兆枚是Veria Labs研究人員在本地測試環境中透過概念驗證模擬的結果，並非實際進入市場流通的代幣。XRPL官方表示，目前沒有發現該漏洞在公開網路遭到利用，XRP實際供應量也沒有因此增加。

FAQ 2：XRPL整數溢位漏洞為什麼如此嚴重？

這項漏洞的風險在於兩個整數溢位問題可以相互配合。付款引擎可能錯誤計算訂單總額，而XRPNotCreated安全檢查也可能因數值溢位而無法正確識別異常。研究人員因此能在測試環境模擬產生並轉移XRP，威脅的不只是單筆交易準確性，更是固定供應規則的可信度。

FAQ 3：xrpld 3.4.1更新後，XRP持有者還需要擔心嗎？

XRPL已在xrpld 3.4.1加入溢位檢查，並調整供應量安全驗證機制，旨在阻止這條攻擊路徑。不過，單一漏洞完成修補，不代表整個區塊鏈系統從此沒有其他風險。使用者可持續留意官方安全公告與後續驗證結果，並確認所使用的服務是否已採取必要更新措施。