XRP账本紧急补丁引争议：为防致命漏洞首次绕过审批流程

XRP账本（XRPL）近期针对一个高危漏洞实施紧急安全补丁，引发社区对其去中心化治理模式的广泛讨论。该漏洞若被利用，可能导致生成的XRP数量突破其固定供应上限，威胁系统稳定性。

为何选择跳过常规流程？

此次补丁于9月25日发布，是在收到漏洞赏金报告后三天内迅速部署的。开发团队指出，若遵循原本为期两周的修正案投票机制，将使漏洞暴露在攻击者面前长达数周，存在极高安全风险。

为此，团队决定直接推送更新版本3.4.1，所有安装该补丁的节点服务器立即生效。这是过去十多年里，为保障网络安全而首次主动绕开公开投票流程。

去中心化承诺遭遇信任挑战

尽管补丁及时缓解了风险，但快速发布方式引发外界对“去中心化”说法真实性的质疑。部分观点认为，以二进制文件形式分发且未提前开源，可能形成对节点运营商的隐性压力。

Cyber Capital创始人Justin Bons批评称，向零售用户宣传XRP为“去中心化”资产，实则构成误导。他指出，这种快速推进的机制与真正的开放治理背道而驰。

多方共决确保治理透明

对此，XRPL基金会回应称，紧急修复决策由基金会、RippleX、核心开发者及验证器代表共同评估后达成一致。任何单一实体均无权单方面决定。

声明强调，协议变更仍需通过标准修正案流程完成。版本3.4.1仅在获得超过80%验证器支持并持续两周正常投票后，才被强制要求采纳。当前的快速部署仅为临时应急措施。

独立验证器运营商XRP Kuwait表示，共识协调不等于集中控制。各节点运营商在实际操作中始终保持独立判断和选择权。

漏洞原理与防御机制

该漏洞源于XRP余额采用64位整数存储，当总和超过上限时会自动回绕至较小数值，而非报错。攻击者可构造特定挂单组合，通过一笔小额支付触发大量订单清算，从而非法生成超出总量的新币。

值得注意的是，此攻击路径依赖于精心设计的挂单结构，无法通过普通交易实现。截至目前，公共网络中尚未发现该漏洞被实际利用的迹象。