XRP Ledger 為修復無限增發 XRP 漏洞發布緊急補丁辯護

XRP Ledger 開發者為修復可突破網絡固定供應量、無限創建 XRP 的漏洞所採用的緊急安全補丁辯護，表示若等待網絡慣常的兩週驗證節點投票流程，將使該漏洞暴露於攻擊者風險之下。

該修復於 9 月 25 日發布，距漏洞賞金報告僅三天，並於安裝後立即在任何伺服器上生效。據稱，這是自系統推出逾十年來，首度刻意繞過正常修正程序。

XRP Ledger 開發者週日於 X 平台發文指出：『若依正常修正投票流程，此修復將提前數週公開，危及網絡安全。』

此次加速修復引發外界對 XRPL 去中心化程度的質疑。其官網聲稱 XRPL 是完全去中心化的公共區塊鏈——此論述亦是主張其原生代幣 XRP 不屬證券的核心依據。

XRPL 安全修復『引發眾多疑問』

Cyber Capital 創辦人 Justin Bons 週四表示，向零售投資者宣傳 XRP 具備去中心化特性，等同『直接詐欺』。他指出，9 月 25 日的緊急版本僅提供二進制檔、暫時隱藏原始碼，並施壓營運商升級。

然而，XRPL 基金會表示，跳過正常修正程序的決定，係由基金會、RippleX、核心開發者與驗證節點共同評估漏洞嚴重性後作出。

基金會指出：『無單一實體能獨自決定此事。所有驗證節點與節點營運商皆可自主選擇執行之軟體；而 3.4.1 版本僅經正常修正投票、獲逾八成驗證節點連續兩週支持後方成為強制要求。協議變更仍須透過修正程序。』

獨立驗證節點營運商 XRP Kuwait 亦駁斥『協調升級即代表集中管控』之說法。

其聲明指出：『我們不同意「營運商協調升級」本身即證明集中管控之說法。協調不等同於控制。獨立營運商可自行評估狀況、彼此溝通，並達成相同結論，同時保有自主性。』

該漏洞可無限鑄造 XRP

根據專案漏洞披露報告，此漏洞為 XRP Ledger 支付引擎中自 2015 年起即存在的整數溢位問題。

XRP 餘額以 64 位元整數儲存，具固定上限。當總和超出上限時，計算結果將回繞至較小數值，而非直接失敗。

攻擊者可藉由建立數百筆特製價格掛單（每筆索求極高 XRP 數量），再發送一筆支付以同時消耗全部掛單，從而利用此漏洞。

引擎將向各掛單持有者全額計入 XRP，卻僅向付款方收取微小的回繞總額；差額即為新生成、可花費的 XRP。

報告指出，此攻擊需刻意構造掛單，無法透過正常交易觸發；開發者亦未發現該漏洞於任一公共網絡遭實際利用之證據。

雜誌：帳簿攻擊蔓延至歐盟，AI 發現「18 兆 XRP」漏洞：持幣者摘要