XRP Ledger 開發者為用於修補一項可能在網路固定供應量之外創造 XRP 的漏洞之緊急安全修補辯護，表示他們無法等待網路通常為期兩週的驗證者投票，否則將讓漏洞暴露給攻擊者。
該修補程式於 9 月 25 日發布，距離收到漏洞賞金報告僅三天，任何安裝它的伺服器都會立即生效。他們表示，這是自該系統十多年前推出以來，首次有意繞過正常修訂流程。
「若採用正常的修訂投票，修正內容在生效前就會公開數週，將危及網路安全，」XRPL 開發者在週日的一篇 X 貼文中 表示 。
這項加速修補引發了外界對 XRPL 去中心化程度的疑問。XRPL 在其網站上宣稱自己是完全去中心化的公鏈——這項特性一直是主張其原生代幣 XRP 不屬於證券的核心論據。
XRPL 安全修補「引發許多問題」
Cyber Capital 創辦人 Justin Bons 於週四 表示 ，向散戶投資者宣傳 XRP 為去中心化，等同於「赤裸裸的詐欺」。他主張，9 月 25 日發布的緊急版本僅以二進位檔形式提供，暫時扣留原始碼，並向營運者施壓要求升級。
然而，XRPL 基金會表示，在評估漏洞的嚴重程度後，基金會、RippleX、核心開發者與驗證者共同決定跳過正常修訂流程。
「沒有任何單一方能獨自做出這項決定。每位驗證者與節點營運者都能選擇要執行的軟體，而 3.4.1 只有在獲得超過 80% 驗證者支援、持續兩週的正常修訂投票後，才會成為必要版本。協議變更仍須經過修訂程序，」基金會表示。
XRP Kuwait（獨立驗證者營運者）也 駁斥 了協調升級代表集中化控制的說法。
「我們不同意營運者協調更新本身就能證明集中化控制的說法，」該團隊表示。「協調不等同於控制。獨立營運者可以評估情況、彼此溝通，並在不放棄獨立性的情況下達成相同結論。」
漏洞可能鑄造無限量 XRP
根據該專案的漏洞披露報告，這項漏洞是 XRP Ledger 支付引擎中的整數溢位，自 2015 年起便一直存在。
XRP 餘額以 64 位元整數儲存，且設有固定上限。當總和超過該上限時，計算結果會回繞為較小的數值，而不是失敗。
攻擊者可以藉此建立數百個價格經特別設定的掛單，每個掛單都要求極大量的 XRP，然後發送一筆付款將它們全部消耗。
引擎會將每筆掛單的完整金額記入其擁有者帳戶，卻只向買方收取回繞後的微小總額。差額便會成為新創造、可供使用的 XRP。
根據報告，該攻擊需要精心構造的掛單，無法透過正常交易活動觸發。開發者表示，他們沒有證據顯示該問題曾在任何公有網路上遭到利用。