XRPL 明日封堵 Token 漏洞，原生借贷仍陷停滞

据 Woofun AI 消息， Ledger 预计将在 11 月 4 日世界标准时间 14:46 左右激活 版本，以彻底封堵长期存在的 Token 发行权限漏洞。

这一关键安全更新旨在解决允许仅拥有销毁权限的账户非法创建新 Token 的风险，标志着该网络在经历数周动荡后迎来重要的安全里程碑。尽管修复方案已获多数验证者支持并进入最后倒计时，但 生态中备受期待的原生借贷功能却因共识支持率未达标而陷入停滞，凸显出网络升级在安全与功能拓展之间的不同步现状。

深入剖析此次修复的技术细节，核心问题源于权限委托机制中的逻辑缺陷。该机制通过 修订案于 10 月 8 日正式投入使用，旨在允许账户在不共享私钥的前提下，将特定权力授予其他实体。其中，PaymentBurn 权限本意是允许被委托方销毁 Token，但文档明确指出，在修复前，拥有此详细权限的被委托方竟能反向铸造新的可互换 Token，甚至可能涉及信托链 Token 或多用途 Token。

XRPL 官方文档曾严厉警告，在 fixCleanup3_4_0 启用前严禁委托 PaymentBurn 权限。此次包含在 3.4.0 版本中的修复，不仅会拒绝接收余额为零时的 PaymentBurn 支付，还同步加强了 AMM（自动做市商）的扣款机制、金库会计处理、托管储备金以及签名管理功能。节点运营商被要求尽快升级，以消除这一潜在的攻击向量，确保只有真正具备完整权限的账户才能执行敏感操作，而其他未受影响的权限则保持原有逻辑不变。

从共识机制的角度来看，此次修复的推进过程并非一帆风顺，而是经历了多次延期与重新倒计时。XRPL 的修订案生效规则严苛，要求连续两周获得 35 个受信任验证者中至少 80% 的支持，即至少 28 个验证者投赞成票。一旦支持率跌破 80%，倒计时即刻重置。该升级原定于世界标准时间 10 月 23 日约 09:34 启动，但因支持率波动未能如期生效。随后，倒计时于 10 月 21 日重新开始，为期两周。

Woofun AI 整理数据显示，截至最新追踪，Xrpscan 工具记录到已有 33 个验证者支持 fixCleanup3_4_0 版本，这一数字远超 28 个的最低门槛，确保了修复方案能在 11 月 4 日顺利激活。相比之下，其他待处理升级项目的进展则显得步履维艰，反映出社区在功能创新与安全保守之间的谨慎权衡。

更令人担忧的是，XRPL 原生借贷功能的落地进程严重受阻。同一追踪工具显示， 版本仅获得 19 票支持，最初的 修订案同样仅有 19 票，而 版本的支持票数为 21 票，这些数字均远低于 28 票的生效门槛。由于缺乏足够的共识支持，这些关键功能的倒计时甚至尚未开始，导致 XRPL 无法实现原生借贷功能。

这一停滞状态与 Ripple 及其合作伙伴的努力形成鲜明对比。例如，Ripple 推出的 稳定币近期已获 在 XRPL 及其他区块链网络上的支持，显示出机构对 XRPL 应用的兴趣。

然而，底层协议功能的缺失限制了更复杂的金融场景落地。回顾历史，XRPL 的安全保障曾面临严峻挑战。2026 年 10 月，开发者披露了一个存在十年的 ledger 漏洞，该漏洞可能允许攻击者制造超出固定供应量的 XRP。