XRP 账本团队回应紧急安全补丁争议：为防范致命漏洞，首次绕过常规审批流程

XRP 账本（XRPL）的开发团队近日针对近期实施的一项紧急安全补丁引发的担忧作出了回应。该补丁旨在解决一个关键性漏洞，该漏洞若被利用，可能导致生成的 XRP 数量超出其固定的供应上限。

开发团队表示，他们采取了即时行动，因为如果等待网络常规的两周修正案投票程序，可能会使这一漏洞暴露在潜在攻击者面前，从而带来安全风险。

紧急补丁绕过了常规审批流程

这项于 9 月 25 日发布的补丁，是在三天前收到一份漏洞赏金报告后实施的，并且任何安装该补丁的服务器都会立即生效。XRPL 开发团队指出，这是在过去十多年里，为了保护网络安全而首次有意绕过修正案流程。

开发团队在社交平台 X 上发布声明强调，此举出于对安全的必要考量：“按照正常的修正案投票流程，修复方案将在生效前公开数周，这将使网络安全面临风险。”

然而，这种快速部署也引发了人们对 XRP 账本去中心化程度的新质疑。XRPL 的公开资料长期以来一直宣称，该区块链作为一个完全去中心化的开放网络运行。这一描述在关于 XRP 作为非证券代币的法律地位讨论中发挥了关键作用。

关于去中心化与透明度的辩论

Cyber Capital 创始人 Justin Bons 对这些说法表示怀疑，他称向零售投资者营销 XRP 是“去中心化”的说法是“纯粹的欺诈”。Bons 认为，以二进制文件而非开源形式发布紧急补丁，并迅速推广，给节点运营商施加了升级压力。

负责账本开发的非营利组织 XRPL 基金会对此回应称，实施紧急修复的决定是由基金会、RippleX、核心开发者和验证器在共同评估漏洞风险后集体做出的。“没有任何单一方可以独自做出这一决定。每个验证器和节点运营商都自主选择运行的软件，版本 3.4.1 仅在获得超过 80% 验证器支持并持续两周的正常修正案投票后才成为必需项。协议更改仍然通过修正案进行。”

独立验证器运营商 XRP Kuwait 也驳斥了有关节点运营商协调行动破坏去中心化的说法。该运营商强调，共识和沟通并不等同于集中控制，并指出在整个过程中，独立运营商始终保持自主性。

关键漏洞细节及其缓解措施

该漏洞涉及 XRP 余额的存储方式，即使用固定上限的 64 位整数。当总和超过此上限时，总数会“回绕”到一个较小的值，而不是返回错误。

攻击者可以利用这一缺陷，创建数百个请求极大量 XRP 的挂单。通过发送一笔精心构造的支付，攻击者可以触发所有这些挂单，向挂单所有者全额支付金额，而买方仅需支付极小的回绕金额，从而有效地生成超出预期供应量的可花费新 XRP。

该漏洞只能通过故意构建的特定挂单来利用，无法通过标准交易活动访问。开发团队报告称，未在公共 XRP 网络上发现该问题被利用的证据。