XRP Ledger vá lỗi tràn số nghiêm trọng có thể tạo thêm XRP

Các nhà phát triển XRP Ledger đã công bố và khắc phục một lỗ hổng nghiêm trọng trong bộ máy thanh toán, có thể tạo ra XRP có thể chi tiêu từ con số không. Bản vá nằm trong xrpld 3.4.1, phát hành ngày 25/9/2026. Báo cáo công khai ngày 9/10 cho biết chưa tìm thấy bằng chứng lỗi bị khai thác trên bất kỳ mạng công khai nào.

Lỗ hổng có thể hoạt động ra sao

Nguyên nhân là phép cộng số nguyên 64 bit không kiểm tra tràn số. Một khoản thanh toán được thiết kế đặc biệt có thể khớp hàng trăm lệnh bất thường; từng lượng XRP riêng lẻ đều hợp lệ nhưng tổng cộng vượt giới hạn và quay về một số nhỏ.

Chủ lệnh vẫn nhận đủ số tiền, trong khi người mua chỉ bị tính tổng nhỏ sau khi tràn. Phần chênh lệch trở thành XRP mới có thể sử dụng. Người đọc có thể theo dõi thị trường giao ngay XRP/USDT và thị trường vĩnh cửu XRPUSDT đã được xác minh trên OrangeX.com.

Vì sao các kiểm tra cũ không phát hiện

XRPL đã có quy tắc bất biến để bảo đảm giao dịch không tạo XRP. Tuy nhiên, quy tắc này cũng cộng thay đổi số dư bằng bộ đếm 64 bit tương tự nên tràn theo cùng cách và chỉ nhìn thấy phí giao dịch thông thường. Giới hạn theo từng tài khoản cũng không phát hiện nếu XRP mới được chia cho hàng trăm tài khoản.

Nhóm duy trì truy vết logic dễ tổn thương về bộ máy thanh toán từ năm 2015. Giao dịch bình thường không thể vô tình kích hoạt; kịch bản cần hàng trăm lệnh có mức giá phi thực tế và một khoản thanh toán riêng để khớp tất cả cùng lúc.

Thay đổi trong xrpld 3.4.1

Phiên bản mới kiểm tra tràn số khi cộng giá trị qua nhiều lệnh và khi hợp nhất kết quả từ nhiều đường thanh toán. Nếu tổng sắp vượt giới hạn, đường thanh toán thất bại an toàn và không có XRP nào được tạo. Quy tắc “không tạo XRP” dùng bộ đếm rộng hơn, đồng thời một số điểm tổng hợp số dư khác cũng được gia cố.

Bản vá có hiệu lực ngay khi máy chủ nâng cấp thay vì chờ quy trình sửa đổi thông thường. Các nhà phát triển cho rằng mức độ nghiêm trọng đủ để hành động nhanh, vì công khai mã vá nhưng trì hoãn kích hoạt sẽ để lộ cách tấn công trong nhiều tuần. Đến 25/9, hơn 80% trình xác thực trong danh sách tin cậy mặc định đã chạy bản được bảo vệ.

Nhà vận hành phải dùng xrpld 3.4.1 trở lên. Có thể xem thêm tin tức tiền mã hóa OrangeX.com và Trung tâm Tin cậy OrangeX.com để tiếp cận tài nguyên bảo mật chính thức.

OrangeX.com Analysis

Kết luận trực tiếp là con đường tạo XRP đã công bố được đóng và chưa phát hiện vụ khai thác nào. Sự việc cho thấy cùng một giả định số học có thể làm hỏng cả logic thanh toán lẫn quy tắc an toàn. Bộ đếm rộng hơn tạo thêm một lớp bảo vệ độc lập.

Điểm chưa chắc chắn còn lại nằm ở bằng chứng: không có bằng chứng khai thác không đồng nghĩa chứng minh tuyệt đối chưa từng xảy ra. Tuy vậy, mẫu giao dịch rất nhân tạo sẽ giúp rà soát lịch sử thuận lợi hơn. Cần theo dõi kết quả kiểm toán tiếp theo và mức độ nâng cấp của nhà vận hành. Phân tích này không dự báo hướng giá XRP.