XRP Ledger 开发者为用于修复一个可能创建超出网络固定供应量 XRP 的漏洞的紧急安全补丁进行辩护，并表示他们无法等待网络通常为期两周的验证者投票，否则该漏洞可能暴露给攻击者。
该修复程序于 9 月 25 日发布，时间上距离一份漏洞赏金报告仅三天，并在任何安装该程序的服务器上立即生效。他们表示，这是自该系统十多年前推出以来，首次有意绕过正常修订流程。
“如果进行正常的修订投票，修复程序在生效前就会公开数周，从而危及网络安全，”XRPL 开发者在周日的一篇 X 帖子中 表示 。
这项加急修复引发了人们对 XRPL 去中心化程度的质疑。XRPL 在其网站上声称自己是一个完全去中心化的公共区块链——这一表述一直是支持其原生代币 XRP 不属于证券这一观点的核心论据。
XRPL 安全修复“引发了大量问题”
Cyber Capital 创始人 Justin Bons 表示 ，将 XRP 作为去中心化资产营销给散户投资者构成了“彻头彻尾的欺诈”。他认为，9 月 25 日发布的紧急版本仅以二进制文件形式提供，暂时未公开源代码，并向运营商施压要求其升级。
然而，XRPL 基金会表示，在评估漏洞的严重性后，基金会、RippleX、核心开发者和验证者共同决定跳过正常的修订流程。
“没有任何单一参与方能够独自做出这一决定。每个验证者和节点运营商都可以选择运行什么软件，而 3.4.1 只有在超过 80% 的验证者支持、持续两周的正常修订投票中才会成为必需版本。协议变更仍然要经过修订流程，”该基金会表示。
XRP Kuwait 是一家独立的验证者运营商，它也 驳斥了 有关协调升级表明存在集中化控制的说法。
“我们不同意‘运营商协调更新本身就是集中化控制证据’这一说法，”该机构表示。“协调并不等同于控制。独立运营商可以评估情况、相互沟通，并得出相同结论，而无需放弃独立性。”
漏洞本可能铸造无限 XRP
据该项目的漏洞披露报告称，该漏洞是 XRP Ledger 支付引擎中的整数溢出问题，自 2015 年起就一直存在。
XRP 余额以 64 位整数存储，并设有固定上限。当总和超过该上限时，计算结果会回绕为一个更小的数字，而不是失败。
攻击者可以通过创建数百个经过特殊定价的报价来利用这一点，每个报价都要求获得数量极大的 XRP，然后发送一笔支付将这些报价全部消耗掉。
支付引擎会将每个报价持有者应得的全额金额记入其账户，但只向买方收取回绕后极小的总额。差额将成为新创建的、可供消费的 XRP。
据报告称，该攻击需要精心构造报价，无法通过正常交易活动触发。开发者表示，他们没有发现该问题曾在任何公共网络上被利用的证据。