XRP Ledger 开发者已发布一项紧急安全补丁，以应对一个关键漏洞——该漏洞可能使恶意行为者生成额外的可花费 XRP，而网络 XRP 总量固定为 1000 亿枚。

此次修复绕过了账本标准的两周验证人投票流程——开发者辩称，等待可能给潜在攻击者留下利用该弱点的时间。该补丁在漏洞通过网络的漏洞赏金计划（该计划奖励负责任地披露安全缺陷的研究人员）报告三天后立即推出。开发者表示，这是十多年来首次故意绕过修订流程。

此举随后引发了关于 XRP Ledger 如何处理关键问题以及其对去中心化承诺的广泛讨论。

紧急补丁绕过验证人批准

XRP Ledger 上的协议修订通常需要超过 80% 的验证人在两周内达成共识才能生效——这一阈值旨在确保对网络规则的更改在激活之前获得广泛认同。开发者指出，等待安全补丁投票的结果可能会让漏洞持续暴露在被利用的风险之中。

根据 XRP Ledger 开发者周日发布的博客文章，正常的修订流程可能使修复方案在修订激活前公开数周，从而使网络面临危险。

虽然紧急补丁带来了快速解决，但绕过常规流程的决定引发了关于开发团队在应对安全事件中所扮演角色的质疑。

基金会澄清未创建任何 XRP

XRP Ledger 基金会在修复后出面澄清混淆：

The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let's clear them up. 1. Was any XRP created? No. XRP's supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around… — XRP Ledger Foundation (@XRPLF) October 11, 2026

补丁引发去中心化争论

紧急应对措施重新引发了关于 XRP Ledger 是否去中心化的争议——这一问题一直是决定 XRP 法律地位的主要议题之一。核心团队对网络的控制程度，是监管机构在权衡数字资产应如何分类时反复考量的因素。

Cyber Capital 联合创始人 Justin Bons 对此次紧急更新提出了尖锐批评，认为有关 XRP 去中心化的说法具有欺骗性：

Selling XRP to retail as "decentralized" is straight-up fraud! 🚩 XRP has been running closed-source code for the last two weeks Tomorrow, this code becomes mandatory & anyone who disagrees will get kicked off the chain! A permissioned node list means validators must obey: 🧵… pic.twitter.com/3nIcRiid8S — Justin Bons (@Justin_Bons) October 8, 2026

Bons 在其帖子中声称，网络在强制更新前已经运行闭源代码两周，而且许可式节点列表实际上要求验证人必须服从。

另一个担忧是二进制分发属于可执行文件：在底层源代码未能及时分发的情况下，独立开发者几乎没有时间分析所做的更改。

XRP Ledger 基金会解释说，鉴于代码中发现漏洞的严重性，此次紧急补丁由基金会、RippleX、开发者和验证人"共同商定"。基金会强调，没有人主导决策过程，节点运营者仍然可以自由使用自己喜欢的软件。

验证人运营方 XRP Kuwait 也支持紧急补丁流程，表示协作并不意味着中心化：

Our Statement on xrpld 3.4.1 At XRP Kuwait, our journey has always been about infrastructure and purpose. Our purpose is decentralization. We pursue that purpose through independently operated infrastructure and responsible participation in the XRP Ledger. Following the… pic.twitter.com/Oo7qClwpg — XRPKuwait (@XRPKuwait) October 11, 2026

这场争议再次令人们在紧急补丁期间的透明度与问责制上打上了问号。

支付引擎中的整数溢出

紧急补丁背后的缺陷已在 XRP Ledger 团队的一份披露中详细说明。根据漏洞报告，该问题是支付引擎中自 2015 年以来一直存在的整数溢出。整数溢出是一种由来已久的软件错误，即计算结果超出系统可存储的最大值并回绕为一个小得多的数字；在本例中，超过固定最大限额的计算产生了较小的结果。

攻击者本可以通过发送数百个要求以巨额 XRP 兑换的挂单来利用该漏洞。在错误的计算之后，攻击者将收到这些金额，而买方支付的费用低于应付金额——这可能产生额外的可花费 XRP。

由于网络规则在上线时将 XRP 总供应量固定为 1000 亿枚，任何产生额外可花费 XRP 的途径都将破坏账本的一项核心保证——支撑该资产稀缺性的固定供应规则。

这种攻击需要经过特殊设计的挂单，无法在正常交易过程中发生。该补丁旨在防止这种计算错误被用于绕过网络的供应规则。

RippleX 扩大安全举措

RippleX 计划通过 AI 驱动的漏洞检测、对抗性测试、形式化验证以及与外部安全专家合作来加强 XRP Ledger 安全。

这些举措的目标包括发现代码中的漏洞、测试可能的攻击，并在漏洞被利用之前识别出来。RippleX 将这项工作定位为提升整个代码系统安全性的努力，而不仅仅是修复已发现的漏洞。

在安全与透明度之间取得平衡

紧急修复凸显了在维护区块链安全的同时保持决策透明度的挑战。尽管快速实施对于防范潜在攻击至关重要，但它也引发了关于治理流程和源代码访问的问题。

开发者坚称，该漏洞使得跳过标准流程成为必要，而基金会则断言，相关方之间的协调并未影响验证人的独立性。

这一事件凸显了制定能够在快速响应与网络开放性之间取得平衡的紧急协议的必要性。

来源：Tron Weekly