在加密货币世界里，固定供应量常被视为神圣的保证，仿佛保险柜里黄金的数字等价物。然而，XRP Ledger中一个自2015年起就潜伏的漏洞表明，这种信心可能多么脆弱：支付引擎中的一个bug允许在100十亿枚代币的上限之外创建可花费的XRP。
研究人员Cayden Liao和Veria AI通过22月2026日的漏洞赏金计划发现了这一问题。RippleX在测试服务器上复现了该攻击，并确认攻击者可以利用内置交易所中汇总大量报价时的64位整数溢出生成新代币。买方只需支付极小的金额，而卖方却收到全额——差额就变成了可以随后花掉的“新”XRP。
全部100十亿枚XRP都是在2012年网络启动时创建的，协议最初并未规定额外发行。这个bug十年来一直未被发现，因为普通交易从未接近溢出边界。“不创建XRP”的检查依赖同样的算术，也因此漏掉了这一异常，而单个账户的余额上限则可以通过分散到数百个地址来绕过。
修复程序已在25月发布的xrpld 3.4.1中推出——以紧急方式完成，没有经过通常的验证者投票。超过80%的节点当天就完成了更新。开发者没有在公共网络上发现被利用的痕迹，但这一漏洞存在如此之久的事实本身令人深思：究竟是谁在真正掌控着我们的数字货币所“遵循”的规则？
对于XRP及其他加密资产的持有者来说，这段经历提醒着一个简单的道理：对代码的信任不是抽象概念，而是每日的风险权衡。漏洞赏金和快速补丁确实有效，但它们并不能免除分散投资的必要性，也不能免除这样一种认识：即便是“不可更改”的规则，有时也需要人为干预。
最终，这次更新通过添加溢出检查并扩展不变量计数器，加强了防护。对于任何在区块链上持有资产的人来说，最大的教训是：一个系统的可靠性不仅取决于它过去的成功，也取决于它迅速修补隐藏裂痕的意愿。
