گره‌های نقره‌ای XRP Ledger که در پس‌زمینه سیاه از مسیر سرریز نارنجی محافظت می‌شوند

XRP Ledger نقص سرریز بحرانیِ امکان‌ساز ایجاد XRP را برطرف کرد

به‌روزرسانی‌شده در 2026/10/12 06:40:29

نسخه 3.4.1 نرم‌افزار XRPL سرریز موتور پرداخت را که می‌توانست XRP قابل‌خرج ایجاد کند رفع کرد؛ شواهدی از سوءاستفاده در شبکه عمومی یافت نشد.

توسعه‌دهندگان XRP Ledger یک آسیب‌پذیری بحرانی در موتور پرداخت را افشا و رفع کرده‌اند که می‌توانست XRP قابل‌خرج را بدون پشتوانه ایجاد کند. اصلاحیه در نسخه xrpld 3.4.1 مورخ ۲۵ سپتامبر ۲۰۲۶ منتشر شد. گزارش عمومی ۹ اکتبر می‌گوید هیچ مدرکی از بهره‌برداری در شبکه‌های عمومی پیدا نشده است.

آسیب‌پذیری چگونه کار می‌کرد؟

ریشه مشکل جمع بدون کنترل اعداد صحیح ۶۴ بیتی بود. یک پرداخت دست‌کاری‌شده می‌توانست صدها سفارش غیرعادی را مصرف کند؛ مبلغ هر سفارش به‌تنهایی معتبر بود، اما مجموع XRP از سقف عدد صحیح عبور می‌کرد و به عدد کوچکی بازمی‌گشت.

در این حالت، صاحبان سفارش مبلغ کامل را دریافت می‌کردند ولی خریدار فقط مجموع کوچکِ پس از سرریز را می‌پرداخت. اختلاف به XRP جدید و قابل‌خرج تبدیل می‌شد. کاربران می‌توانند بازار تأییدشده اسپات XRP/USDT و قرارداد دائمی XRPUSDT را در OrangeX.com بررسی کنند.

چرا کنترل‌های موجود آن را متوقف نکردند؟

XRPL از قبل کنترل ثابتی برای جلوگیری از ایجاد XRP داشت. اما همان کنترل نیز تغییرات موجودی را با شمارنده ۶۴ بیتی مشابه جمع می‌کرد، بنابراین به همان شکل سرریز می‌شد و نتیجه را فقط کارمزد معمولی می‌دید. توزیع XRP میان صدها حساب نیز مانع فعال شدن سقف موجودی هر حساب می‌شد.

منطق آسیب‌پذیر به موتور پرداخت نوشته‌شده در سال ۲۰۱۵ برمی‌گردد. معاملات عادی نمی‌توانستند تصادفی به این مسیر برسند؛ صدها سفارش با قیمت‌گذاری غیرواقعی و یک پرداخت ویژه برای مصرف هم‌زمان همه آن‌ها لازم بود.

در xrpld 3.4.1 چه تغییر کرد؟

نسخه جدید هنگام جمع مبالغ سفارش‌ها و ترکیب چند مسیر پرداخت، سرریز را بررسی می‌کند. اگر مجموع از حد عبور کند، مسیر به‌طور ایمن شکست می‌خورد و XRP ساخته نمی‌شود. کنترل «عدم ایجاد XRP» اکنون شمارنده عریض‌تری دارد و چند مسیر دیگر جمع موجودی نیز تقویت شده‌اند.

این اصلاح بلافاصله پس از ارتقای سرور فعال شد و منتظر فرایند معمول اصلاحیه نماند. دلیل اعلام‌شده شدت خطر بود؛ انتشار کد در حالی که فعال‌سازی هفته‌ها عقب می‌افتاد، مسیر حمله را آشکار و همچنان قابل‌استفاده می‌کرد. تا ۲۵ سپتامبر بیش از ۸۰٪ اعتبارسنج‌های فهرست اعتماد پیش‌فرض نسخه محافظت‌شده را اجرا می‌کردند.

اپراتورها باید از xrpld 3.4.1 یا جدیدتر استفاده کنند. برای پوشش بیشتر به اخبار رمزارز OrangeX.com و برای منابع رسمی امنیتی به مرکز اعتماد OrangeX.com مراجعه کنید.

OrangeX.com Analysis

جمع‌بندی کوتاه این است که مسیر اعلام‌شده برای ایجاد XRP بسته شده و سوءاستفاده‌ای شناسایی نشده است. این رخداد نشان می‌دهد یک فرض حسابی مشترک می‌تواند هم منطق پرداخت و هم کنترل ایمنی را از کار بیندازد. شمارنده عریض‌تر اکنون یک مانع مستقل ایجاد می‌کند.

ابهام باقی‌مانده بیشتر مربوط به شواهد است تا اصلاح فنی: نبود مدرک، اثبات قطعی نبود سوءاستفاده نیست. با این حال الگوی بسیار ساختگی تراکنش باید بررسی تاریخی را آسان‌تر کند. نتایج ممیزی‌های بعدی و میزان به‌روزرسانی اپراتورها باید پیگیری شود. این تحلیل پیش‌بینی جهت قیمت XRP نیست.