XRP Ledger 基金会反驳了有关其紧急安全补丁被强加给网络运营商的说法。

XRP Ledger 开发人员为紧急安全补丁进行了辩护，该补丁用于修复能够在网络固定供应之外创建 XRP 的错误，称他们不能等待网络通常为期两周的验证者投票而不将缺陷暴露给攻击者。

该修复于 9 月 25 日发布，在错误赏金报告三天后发布，并立即在安装该修复的任何服务器上生效。他们说，这是自十多年前引入该系统以来首次故意绕过正常的修订程序。

XRPL 开发人员周日在 X 帖子中表示：“如果进行正常的修正案投票，该修复程序将在生效前几周公开，这会危及网络安全。”

快速修复引发了人们对 XRPL 去中心化程度的质疑。 XRPL 在其网站上声称它是一个完全去中心化的公共区块链——这一特征一直是其原生代币 XRP 不是证券的争论的核心。

XRPL 安全修复“引发了很多问题”

Cyber​​ Capital 创始人贾斯汀·邦斯 (Justin Bons) 周四表示，向散户投资者推销 XRP 是去中心化的，这相当于“直接欺诈”。他辩称，9 月 25 日的紧急版本仅以二进制文件形式发布，暂时扣留了源代码，并迫使运营商进行升级。

不过，XRPL基金会表示，跳过正常修正流程的决定是基金会、RippleX、核心开发者和验证者在评估了该漏洞的严重性后共同做出的。

“没有任何一方可以单独做出这样的决定。每个验证者和节点运营商都可以选择运行什么软件，而 3.4.1 只有通过正常的修正案投票才需要，并在两周内获得超过 80% 的验证者支持。协议变更仍然需要经过修正，”该基金会表示。

独立验证器运营商 XRP Kuwait 也否认了协调升级表明集中控制的说法。

“我们不同意运营商协调更新本身就是集中控制的证据的说法，”它表示。 “协调与控制不同。独立操作者可以评估情况，相互沟通，并在不放弃独立性的情况下得出相同的结论。”

Bug 可能会铸造无限的 XRP

根据该项目的漏洞披露报告，该漏洞是 XRP Ledger 支付引擎中的整数溢出，该漏洞自 2015 年以来一直存在。

XRP 余额存储为具有固定最大值的 64 位整数。当总和超过该最大值时，计算会转换为较小的数字而不是失败。

攻击者可以通过创建数百个特价商品来利用这一点，每个商品都要求大量 XRP，然后发送一笔付款来消耗所有这些商品。

引擎会将全部金额记入每个报价所有者的账户，但仅向买家收取极少的包装总额。区别在于新创建的可消费 XRP。

报告称，此次攻击需要故意构建报价，并且无法由正常交易活动触发。开发人员表示，他们没有发现任何证据表明该问题在任何公共网络上被利用。