XRP Ledger 開發者用兩週前才修復的緊急補丁做例，說跳過正常程式是「必要之惡」，獨立驗證者卻指出補丁流程暴露了區塊鏈的集中化痕跡。
（前情提要：
XRPL 驚爆潛伏十年的「憑空印幣」漏洞！官方破例跳過修正案緊急修補
）
（背景補充：
XRP 庫藏公司 SPAC 暴漲 273%！信託資金已退出 80%
）
本文目錄
Toggle
X RP 帳簿 開發者週日在 X 平台發文 表示，修補潛伏十年的「無限印幣」漏洞時跳過正常的兩週驗證程式是必要之舉，「否則補丁會公開幾週，讓攻擊者有機可乘」。
9 月 25 日上線的緊急修補是 XRP Ledger 史上首次繞過標準修正程式，但開發者說這只是第一步。獨立節點隨後用同一方法又挖出了 4 檔額外漏洞，確認系統確實存在多個整數溢位。
補丁流程的代價
XRP 基礎設施的運作方式並不複雜：XRP 餘額存在 64-bit 整數中，上限固定。當總和超過上限時，計算會回繞成小數字而不是失敗。攻擊者只要在帳簿上建立數百個特定價格的報價，每筆要求極大數量的 XRP，然後送出一筆支付全部吃掉，引擎就會把每筆報價的完整金額記在帳上，卻只扣掉極小的回繞數字。差額就是新印出來、能直接花掉的 XRP。
Cyber Capital 創辦人 Justin Bons 週四指出 ，把 XRP 行銷給散戶為「去中心化」等於是「直截了當的欺詐」。他強調 9 月 25 日的緊急版本只以二進位檔案形式發布，暫時扣住了原始碼，並施壓節點營運商升級。
XRPL 基金會的回應也不慢。跳過正常修正程式的決定是基金會、RippleX、核心開發者和驗證者共同評估後做出的。「沒有一個單一主體能單獨做這個決定。每個驗證者和節點營運商都自行選擇執行什麼軟體。」
獨立驗證者說服了，但有條件
科威特獨立驗證節點 XRP Kuwait 也否決 了協調升級代表集中控制的說法：「營運商協調更新本身不是集中控制的證據。協調不等於控制，獨立營運商可以評估狀況、互相溝通、達成同樣結論，而不放棄獨立性。」
這番說法聽起來合理，但關鍵在於「互相溝通」的定義。如果五家主要節點在沒有共識協議的情況下私下對齊升級時間表，那跟去中心化有什麼區別？比特幣核心開發者在挖礦前也會私下溝通區塊難度調整。
漏洞的原始報告細節
根據 XRPL 專案的漏洞揭露報告，整數溢位存在於 XRP Ledger 的支付引擎中，自 2015 年起就潛伏在系統裡。報告指出，攻擊需要刻意構建的報價，普通的交易活動不會觸發問題。開發者說在公共網路上沒找到任何被利用的證據，但這不代表漏洞不存在，只表示沒有人注意到。
同一枚 64-bit 整數同時儲存 XRP 餘額和貨幣精度。當精度位元被填滿時，計算會回繞而不是溢位。這意味著 XRP 的供應量雖然理論上是固定的 1,000 億枚，但實際上限是 524,710,599 枚，剩下的 947 億枚其實沒被用到，只是放在帳簿裡當「緩衝」。
後續觀察
這次事件揭開了 XRPL 的兩條線索。第一，區塊鏈的「去中心化」程度取決於你怎麼定義，如果節點在幕後協調升級算集中化，那幾乎所有主流鏈都沒有真正意義上的去中心化。比特幣核心開發者在挖礦前也會私下溝通區塊難度調整。
第二，同一個整數溢位漏洞在 11 歲的老系統裡潛伏 10 年才被發現，暗示 XRPL 的程式碼庫裡可能還有其他沒被注意到的問題。XRP 的供應量雖然固定，但「固定」背後的假設是 52 億枚的緩衝永遠不會被用完，只要再發現兩三個同樣的溢位漏洞，這個假設就不再成立。
臺灣加密市場的角度來看，XRP 是本土最常持有的代幣之一，主要因為交易速度快、手續費低。如果 XRPL 的內部機製出現問題，最直接受影響的是使用 XRP 作為支付媒介的交易所和支付機構，這些機構在臺灣市場上佔有相當大的份額。這次補丁雖然沒有造成實際損失，但提醒了市場上「去中心化」的定義其實比想像中更寬鬆。
?相關報導?
XRP Ledger 上線「許可權委派」功能！銀行可分權管理，穩定幣合規再近一步
XRP 庫藏公司 SPAC 暴漲 273%！信託資金已退出 80%
瑞波「XRPL EVM 側鏈」主網正式上線，以XRP支付Gas費、有何特色？
XRPL 驚爆潛伏十年的「憑空印幣」漏洞！官方破例跳過修正案緊急修補
Bitget 駭客轉出 8,300 萬鎂 XRP！XRPL 不支援凍結，Ripple 無能為力
