XRP Ledger（XRPL）开发者为一项紧急安全补丁进行了辩护。该补丁用于修复一个可能铸造超出网络固定供应量XRP的漏洞，开发者表示，如果等待区块链通常为期两周的验证节点投票，就会将这一缺陷暴露给潜在攻击者。

与随时间增发新币的网络不同，XRP Ledger在启动时其1000亿枚XRP的全部供应量即已存在——因此，一个能够铸造额外代币的代码路径直接冲击了这一资产的基础属性。

该补丁于9月25日发布，即在漏洞赏金报告提交三天后，并在任何安装它的服务器上立即生效。据开发者所述，这是该系统推出十多年来首次有意绕过网络的标准修订流程。在该流程下，协议变更以修订案形式发布，只有在超过80%的验证节点连续两周支持后才会激活——XRPL基金会后来在为强制升级至3.4.1版本辩护时引用的正是同一阈值。

"如果走正常的修订投票流程，修复方案在生效前就会被公开数周，危及网络安全，"XRPL开发者周日在X post中表示。

这一快速修复引发了关于XRP Ledger去中心化程度的质疑。在其官网上，XRPL自称是完全去中心化的公共区块链——这一描述一直是XRP作为其原生代币不应被归类为证券这一论点的核心。这些论点具有监管层面的分量：美国证券交易委员会于2020年12月起诉Ripple，指控其进行XRP未注册证券发行，而XRP的去中心化程度一直是该案中反复出现的争论焦点。

安全修复"引发了很多疑问"

Cyber Capital创始人Justin Bons周四表示，向散户投资者将XRP宣传为去中心化等同于"彻头彻尾的欺诈"。他辩称，9月25日的紧急版本仅以二进制文件形式发布，暂时扣留了源代码，并施压运营方升级。

然而，XRPL基金会表示，跳过标准修订流程的决定是在评估漏洞严重程度后，由基金会、RippleX、核心开发者和验证节点共同作出的。

"没有任何单一方能够独自做出这一决定。每个验证节点和节点运营方都自行选择运行什么软件，而3.4.1之所以成为必需版本，是通过正常的修订投票实现的——超过80%的验证节点连续两周支持。协议变更仍然通过修订案进行，"基金会表示。

独立验证节点运营方XRP Kuwait也驳斥了协调升级意味着中心化控制的指控。

"我们不同意运营方协调更新本身就是中心化控制证明的说法，"其在X post中表示。"协调不等于控制。独立的运营方可以评估局势、相互沟通，并在不放弃独立性的前提下得出相同结论。"

该漏洞本可铸造无限量XRP

根据项目的漏洞披露报告，该漏洞是XRP Ledger支付引擎中的一个整数溢出问题，自2015年起就存在。

XRP余额以64位整数形式存储，具有固定上限。当总额超过该上限时，计算会回绕为一个较小的数字，而不是报错失败。

者可以利用这一缺陷：创建数百个特殊定价的挂单，每个挂单要求极高数量的XRP，然后发送一笔支付将其全部消耗。引擎会向每个挂单所有者记入其全额，却只向买方收取回绕后的微小总额——差额即成为新铸造的、可使用的XRP。

报告指出，该攻击需要刻意构造的挂单，正常交易活动无法触发。开发者表示，未发现任何公共网络上该漏洞被利用的证据。

账本核心组件中的一个缺陷为何在约十年间未被察觉，仍是此次披露所引发的争论中一个悬而未决的问题。