周五发布的一份安全报告称，XRP Ledger 的支付软件中存在一个可能让攻击者“凭空”创建可花费 XRP 的漏洞。该漏洞可能自2015年以来一直未被发现。RippleX 表示，未发现任何迹象表明该漏洞已被利用。
报告指出，XRP 的供应量上限为1000亿枚；按报告发布时1.41美元的价格计算，其市值约为888亿美元。
单笔支付如何可能“印出”新XRP
XRP Ledger 内置一个交易市场，账户可在其中挂出用一种代币兑换另一种代币的报价。报告称，攻击者可开设数百个账户，每个账户以极少量代币报价换取巨额 XRP，然后通过单笔支付一次性买入所有报价。
此时，软件中的运行总额因过大而超出计数器范围，并重置为一个很小的数字，类似里程表越过上限后归零。结果，卖出账户获得全额付款，而买方几乎无需支付。一个用于发现新增 XRP 的安全检查也使用了同一计数器，因此未能发现这一差额。
研究人员 Cayden Liao 和 Veria AI 于9月22日通过 XRPL 漏洞赏金计划报告了该漏洞。
修复绕过常规验证者投票
XRP Ledger 的规则变更通常需要超过80%的可信验证者支持，并持续两周。可信验证者是确认交易的服务器。此次修复于9月25日在服务器软件版本3.4.1中发布，并在每个运营商升级后立即生效。
RippleX 表示：“这是自十多年前引入修正案系统以来，首次故意以这种方式发布交易处理变更。”RippleX 称，公开投票会使漏洞在开放代码中暴露数周，并在此期间仍可被利用。超过80%的默认验证者在发布日完成升级，早于修复代码公开。
报告称，XRPL Foundation、RippleX 和验证者共同做出了这一决定。RippleX 表示，未来变更仍将遵循投票规则。
此次披露前一天，Cyber Capital 创始人 Justin Bons 在与 Ripple 的 David Schwartz 就 XRP 去中心化问题辩论时，称将 XRP 宣传为去中心化是“欺诈”。