网络安全研究员：XRPL 漏洞赏金与 Google Chrome 相当，借贷协议修正案未达门槛

资安研究员 Tayvano 指出，XRP Ledger 为本月曝光的无限铸币漏洞支付的 25 万美元赏金，与 Google Chrome 浏览器远程代码执行漏洞的赔偿金额相同，引发外界对 XRPL 漏洞奖励标准是否足够的讨论。XRPL 借贷相关修正案目前分别仅获 19 至 21 票，均低于 29 票门槛，尚无启动日期。

Tayvano 指出 25 万美元漏洞奖励与 Google Chrome 远程代码执行漏洞赔偿相同

资安研究员 Tayvano 的批评重点在于等值比较：XRPL 为本月曝光的无限铸币漏洞支付的 25 万美元赏金，与 Google Chrome 浏览器中的远程代码执行（RCE）漏洞赔偿金额相同。这一比较意味着，XRPL 漏洞可让攻击者凭空铸造几乎无限量的 XRP，潜在影响规模远超一般浏览器安全漏洞。因此，批评人士认为，25 万美元未能反映该漏洞的实际严重程度。

Kain 与 Austin Griffith 在 Uneasy Money 网站上对此进行了补充评论。这场讨论延续了更广泛的加密行业安全标准与漏洞补偿机制议题，ZachXBT 本周早些时候也就此问题提出了类似批评。

fixCleanup3_4_0 修正案：30 个验证者支持，涵盖六类技术修复

根据 XRPL 修正案追踪信息，fixCleanup3_4_0 目前已获 36 个受信任验证者中的 30 个支持，超过启动所需的 29 票门槛。该修正案于 10 月 9 日首次取得绝对多数。XRPL 修正案规则要求连续两周维持 80% 以上的验证者支持率；如果在倒计时期间支持率低于 80%，计时将重置。若持续达标，预计于 10 月 23 日 UTC 09:34 启用。

该修正案主要解决现有及拟议 XRPL 功能中的技术问题，涵盖以下六类：

PaymentBurn 权限缺陷：修正代币授权在特定情境下意外创建代币的问题

自动做市商（AMM）追回：修复 AMM 相关逻辑问题

代币授权：对相关许可机制进行技术修正

托管储备处理：调整涉及储备资金的托管交易逻辑

交易签名：修复特定签名相关问题

涉及单一资产库的计算：修正与 SingleAssetVault 相关的计算

需注意，部分修复涉及尚未在公共网络启用的功能，修正案纳入这些修复并不代表相关功能已向用户开放。

PaymentBurn 权限缺陷：误创代币的具体风险

PaymentBurn 权限缺陷是此次修正案的核心修复项目之一。在 XRPL 最近启动的权限委托框架下，获准销毁同质化代币的账户，在特定情况下也可能创建新的信任线代币或多用途代币（MPT），这并非设计意图。

XRPL 官方文件已建议，在 fixCleanup3_4_0 生效之前，不要委托 PaymentBurn 权限。该修正案的技术修复方式是改变验证行为，防止行使该权限的付款余额超过零，从而从根本上杜绝意外创建代币的可能性。

XRPL 借贷协议现状：三个修正案均低于 29 票门槛，无启动日期

尽管 fixCleanup3_4_0 即将启用，XRPL 提出的借贷基础设施仍远未达到批准门槛。根据 10 月 18 日的验证者快照，LendingProtocol 与 LendingProtocolV1_1 各获 19 票支持，SingleAssetVault 获 21 票支持。三者均低于 36 个验证者快照中所需的 29 票门槛，且均无确定的启动日期。

拟议的借贷框架计划引入通过资产池融资的定期贷款，信用评估和承销在线下进行；SingleAssetVault 允许参与者汇集资金；V1_1 修订版增加了封闭式资产库结构及利息确认的会计处理调整。Coinpaper 此前的分析显示，借贷提案的支持率自 10 月 15 日起一直低于门槛。

常见问题

XRPL fixCleanup3_4_0 修正案预计何时启用？

根据 XRPL 修正案追踪信息，fixCleanup3_4_0 已于 10 月 9 日取得绝对多数，目前获 30 个验证者支持（门槛为 29 票）。若持续维持 80% 以上的支持率，预计于 2026 年 10 月 23 日 UTC 09:34 启用；若支持率下降，计时将重置。

Tayvano 批评 XRPL 漏洞奖励的核心论点是什么？

根据 Laura Shin 的报道，Tayvano 指出，XRPL 为无限铸币漏洞支付的 25 万美元赏金，与 Google Chrome 浏览器远程代码执行漏洞的赔偿金额相同。批评人士认为，这一等值比较表明，XRPL 的漏洞赔偿标准未能反映该漏洞实际可能造成的影响规模。

XRPL 借贷协议修正案目前的批准状态如何？

根据 10 月 18 日的验证者快照，LendingProtocol 与 LendingProtocolV1_1 各获 19 票支持，SingleAssetVault 获 21 票支持，三者均低于所需的 29 票门槛，目前均无确定的启动日期。

fixCleanup3_4_0 中 PaymentBurn 权限缺陷的具体问题是什么？

根据 XRPL 官方文件，在特定条件下，获准销毁同质化代币的账户可能意外创建新代币。该修正案通过改变验证行为，防止行使 PaymentBurn 权限的付款余额超过零，从而避免意外创建代币。官方建议在修正案启用前不要委托此权限。