XRP Ledger 就无限 XRP 漏洞的紧急补丁辩护

XRP Ledger 开发人员为用于修复一个能够创建超出网络固定供应量的 XRP 漏洞的紧急安全补丁进行了辩护，称他们无法等待网络通常为期 two-week 的验证者投票，以免将该漏洞暴露给攻击者。

该修复程序于 Sept. 25 发布，是在收到漏洞赏金报告 three days 后发布的，并在任何安装了该程序的服务器上立即生效。他们表示，这是自该系统引入 more than ten years 前以来，首次故意绕过正常的修正案流程。

“通过正常的修正案投票，该修复程序在生效前会公开 weeks，这会危及网络安全，”XRPL 开发人员在 Sunday 的一篇 X 帖子中 表示。 

快速修复引发了人们对 XRPL 去中心化程度的质疑。在其网站上，XRPL 声称它是一个完全去中心化的公共区块链——这一特征一直是其原生代币 XRP 不是证券的论点的核心。

XRPL 安全修复“引发了许多疑问”

Cyber Capital 创始人 Justin Bons 表示 Thursday，向零售投资者将 XRP 宣传为去中心化相当于“赤裸裸的欺诈”。他认为 Sept. 25 的紧急版本仅以二进制文件形式发布，暂时保留了源代码并向运营商施压要求升级。

然而，XRPL Foundation 表示，在评估了该漏洞的严重性后，Foundation、RippleX、核心开发人员和验证者共同做出了跳过正常修正案流程的决定。

“没有哪一方能单独做出决定。每个验证者和节点运营商都选择运行什么软件，而 3.4.1 只有通过正常的修正案投票，获得 more than 80% 验证者支持 two weeks 后才成为强制要求。协议更改仍然通过修正案进行，”该基金会表示。

相关：Ledger 确认未经授权的硬件植入，称损失可能超过 $86M

独立的验证者运营商 XRP Kuwait 也 反驳了 有关协调升级预示着中心化控制的说法。

“我们不认同运营商协调更新本身就是中心化控制证据的说法，”它表示。“协调不等于控制。独立运营商可以评估情况、相互沟通并得出相同的结论，而不会放弃其独立性。”

漏洞本可以铸造无限的 XRP

根据该项目的漏洞披露报告，该漏洞是 XRP Ledger 支付引擎中的一个整数溢出，自 2015 年以来一直存在。

XRP 余额以具有固定最大值的 64-bit 整数形式存储。当总和超过该最大值时，计算会折返为一个较小的数字，而不是失败。

攻击者可以通过创建 hundreds 个特殊定价的报价来利用这一点，每个报价都要求大量的 XRP，然后发送 one 笔支付来消耗所有报价。

引擎会向每个报价所有者发放其全额款项，但仅向买方收取极小的折返总额。差额将是新创建的、可消费的 XRP。

根据报告，此次攻击需要故意构造报价，无法由正常的交易活动触发。开发人员表示，他们没有发现该问题在任何公共网络上被利用的证据。

杂志：Ledger 攻击蔓延至 EU，AI 发现 ’18 trillion XRP’ 漏洞：Hodler’s Digest