XRP Ledger（XRPL）開發團隊為這次緊急安全修補辯護，該修補旨在修復一個可在網路固定供應量之外鑄造 XRP 的漏洞。他們主張，若等待區塊鏈慣常為期兩週的驗證節點投票，將可能使漏洞暴露在潛在攻擊者面前。

與隨時間增發新幣的網路不同，XRP Ledger 啟動時 1,000 億枚 XRP 的全部供應量即已存在——因此一條能夠鑄造額外代幣的程式碼路徑，直接衝擊此資產的根本屬性。

該修補於 9 月 25 日發布，距離漏洞賞金報告提交僅三天，並在安裝該版本的所有伺服器上立即生效。開發團隊表示，這是該網路標準修正案流程實施十餘年來首次被刻意繞過。在此流程下，協定變更以修正案形式發布，須經超過 80% 的驗證節點連續兩週支持才會啟用——XRPL 基金會稍後也正是引用同樣門檻，為強制升級至 3.4.1 版本辯護。

「若走正常的修正案投票，修補內容在生效前就會公開數週，危害網路安全，」XRPL 開發團隊週日在X 貼文中表示。

這次倉促的修補引發了對 XRP Ledger 去中心化程度的質疑。XRPL 在其官網自稱是完全去中心化的公共區塊鏈——這一描述一直是主張其原生代幣 XRP 不應被歸類為證券的論點核心。這些論點具有監管層面的影響：美國證券交易委員會（SEC）於 2020 年 12 月起訴 Ripple，指控其未經註冊發行 XRP 證券，而 XRP 的去中心化程度一直是該案中反覆出現的爭論焦點。

安全修補「引發多疑問」

Cyber Capital 創辦人 Justin Bons 週四表示，向散戶投資人將 XRP 行銷為去中心化資產等同於「徹頭徹尾的欺詐」。他指出，9 月 25 日的緊急版本僅以二進位檔發布、暫時保留原始碼，並施壓營運者升級。

不過，XRPL 基金會表示，跳過標準修正案流程的決定，是基金會、RippleX、核心開發者與驗證節點在評估漏洞嚴重性後共同作出的。

「沒有任何單一方能獨自做出這個決定。每位驗證節點與節點營運者都自行選擇運行何種軟體，而 3.4.1 版本是透過正常的修正案投票獲得超過 80% 驗證節點支持長達兩週後，才成為必要版本。協定變更仍須經過修正案流程，」基金會表示。

獨立驗證節點營運者 XRP Kuwait 也駁斥了協同升級象徵中心化控制的說法。

「我們不同意『營運者協調更新本身就是中心化控制的證明』這一說法，」該組織在X 貼文中表示。「協調不等於控制。獨立的營運者可以評估情況、彼此溝通並得出相同結論，同時保有各自的獨立性。」

漏洞本可無限鑄造 XRP

根據該專案的漏洞揭露報告，此漏洞是 XRP Ledger 支付引擎中的整數溢位問題，自 2015 年起便一直存在。

XRP 餘額以具有固定上限的 64 位元整數儲存。當金額超過上限時，計算會環繞回較小的數值而非報錯。

攻擊者可以透過建立數百個特殊定價的掛單（每筆索求極大量的 XRP），再發送一筆消耗全部掛單的支付來利用此缺陷。引擎會按全額入帳給每位掛單所有者，卻只向買方收取環繞後的極小總額——差額即成為新鑄造、可動用的 XRP。

報告指出，該攻擊需要刻意建構的掛單，無法由正常交易行為觸發。開發團隊表示，未發現任何跡象顯示此問題曾在公共網路上被利用。

帳本核心元件之一的缺陷何以近十年來未被察覺，仍是這次揭露所引發辯論中的未解之謎。