XRP Ledger开发者为一项紧急安全补丁辩护，称该补丁用于修复一个可能让XRP供应量超出网络固定上限的漏洞，并表示他们不能等待网络通常为期两周的验证者投票，否则会把漏洞暴露给攻击者。

该修复于9月25日发布，在一份漏洞赏金报告提交三天后生效；任何安装该补丁的服务器都会立即受到影响。开发者表示，这是该系统在十多年前引入以来，首次有意绕过正常的修订流程。

“如果按正常的修订投票流程，修复在生效前会公开数周，这会危及网络安全，”XRPL开发者周日在X上表示。

这次加速修复也引发了外界对XRPL去中心化程度的质疑。XRPL在其网站上称自己是一个完全去中心化的公共区块链，而这一表述一直是支持其原生代币XRP“不属于证券”论点的核心。

XRPL安全修复“引发了很多问题”

Cyber Capital创始人Justin Bons周四表示，将XRP作为去中心化资产向散户投资者营销，属于“赤裸裸的欺诈”。他认为，9月25日的紧急发布只提供二进制文件，暂时未公开源代码，并对运营方施压要求升级。

不过，XRPL Foundation表示，跳过正常修订流程的决定，是在评估漏洞严重性后，由基金会、RippleX、核心开发者和验证者共同作出的。

“没有任何单一方可以独自做出这个决定。每个验证者和节点运营方都可以选择运行什么软件，而3.4.1只有在正常修订投票中获得超过80%的验证者支持并持续两周后，才成为必需版本。协议变更仍然要通过修订流程，”该基金会表示。

独立验证者运营方XRP Kuwait也否认了协调升级意味着中心化控制的说法。

“我们不同意‘运营方协调更新本身就证明存在中心化控制’这一说法，”该机构表示。“协调不等于控制。独立运营方可以评估情况、彼此沟通，并在不放弃独立性的前提下得出相同结论。”

漏洞可能导致无限铸造XRP

根据项目的漏洞披露报告，这一漏洞是XRP Ledger支付引擎中的整数溢出问题，自2015年以来一直存在。

XRP余额以64位整数存储，并设有固定最大值。当某个加总结果超过该上限时，计算不会报错，而是回绕为一个更小的数字。

攻击者可以通过创建数百个特定定价的挂单来利用这一点，每个挂单都要求极大量的XRP，然后再发起一笔会将这些挂单全部消耗掉的支付。

引擎会向每个挂单所有者记入其要求的全部金额，但向买方只收取那个回绕后的微小总额。差额就会变成新生成、可支配的XRP。

报告称，这种攻击需要刻意构造的挂单，正常交易活动无法触发。开发者表示，他们没有发现该问题在任何公共网络上被利用的证据。

杂志：Ledger攻击蔓延至欧盟，AI发现“18万亿XRP”漏洞：Hodler’s Digest