Una falla de una década en el motor de pagos del XRP Ledger podría, en teoría, haber permitido a atacantes crear XRP gastable por encima del límite fijo de suministro de 100 mil millones de tokens de la red, según Ripple. La empresa indica que la corrección se incluyó en xrpld 3.4.1 el 25 de septiembre —antes de la divulgación pública— y los investigadores no encontraron evidencia de que la vulnerabilidad fuera explotada en una red pública ni de que se emitiera XRP no autorizado.

El XRP Ledger es una blockchain descentralizada cuyo activo nativo, XRP, tiene un suministro fijo desde su lanzamiento, lo que significa que ninguna transacción puede crear tokens adicionales. Precisamente eso hizo notable esta falla: representaba una forma potencial de eludir la regla monetaria más básica del ledger.

La divulgación generó preguntas y algunas ideas equivocadas, que la XRP Ledger Foundation abordó directamente en una publicación en X:

La reciente corrección de seguridad del XRP Ledger generó muchas preguntas y algunas ideas equivocadas. Aclaremos las dudas.

1. ¿Se creó algún XRP?

No. El suministro de XRP se fijó en 100 mil millones cuando se lanzó el XRP Ledger, y ninguna transacción puede crear más. Este error era una forma de eludir…

— XRP Ledger Foundation (@XRPLF) 11 de octubre de 2026

Esta distinción importa: el error amenazaba las reglas de suministro del ledger, pero la evidencia disponible no demuestra que el límite de XRP se haya violado realmente.

J. Ayo Akinyele, director sénior de ingeniería de RippleX, declaró: "El error existió en el código base durante más de una década y podría haber permitido crear XRP por encima de su suministro fijo".

¿Cómo podría un error de pagos amenazar el suministro de XRP?

La falla estaba en el motor de pagos, el componente que calcula los montos cuando una transacción opera a través de ofertas en la bolsa integrada del XRP Ledger. Bajo condiciones especialmente construidas, la aritmética podía desbordarse: en lugar de devolver el total real adeudado entre las ofertas, el cálculo podía reiniciarse y producir un número mucho menor. Los errores de desbordamiento son una categoría de defecto de software documentada desde hace mucho tiempo, que ocurre cuando un cálculo excede el valor máximo que su tipo numérico puede almacenar.

Esa discrepancía creaba el potencial de que los vendedores recibieran más XRP del que pagó el comprador. El límite de suministro del ledger se estableció cuando se crearon los 100 mil millones de XRP en su inicio; a diferencia de las redes de prueba de trabajo, los validadores no minan nuevo XRP al procesar transacciones. Por lo tanto, una falla que pudiera hacer gastable XRP adicional atacaba una regla monetaria básica, no una cuenta individual.

RippleX señaló que los desarrolladores probaron el parche y coordinaron las actualizaciones con los operadores de red antes de que el problema se divulgara públicamente. Publicar la corrección antes del anuncio sigue la práctica estándar de divulgación coordinada, que da a los operadores tiempo para actualizar antes de que los detalles de la vulnerabilidad se conozcan ampliamente. La corrección se incluyó en xrpld 3.4.1, el software de servidor que procesa transacciones y mantiene los registros del ledger. El informe de divulgación de vulnerabilidades de la XRP Ledger Foundation detalla el desbordamiento del motor de pagos y su remediación.

Ese despliegue rápido de software distinto del proceso de enmiendas del ledger, que los validadores usan para activar cambios en las reglas del protocolo. Activaciones anteriores de enmiendas de XRPL han mostrado cómo el apoyo de los validadores puede determinar cuándo entra en vigor un cambio de protocolo; la corrección de la falla de suministro, en cambio, surtió efecto simplemente a medida que los servidores se actualizaban a la versión parcheada.

¿Qué significa este incidente para los holders de XRP?

Akinyele describió la respuesta de RippleX en una publicación en X el 10 de octubre:

La seguridad sigue siendo nuestra máxima prioridad para preservar la confianza en el XRP Ledger (XRPL). Comparto algunas reflexiones tras la divulgación de ayer de la vulnerabilidad crítica del motor de pagos reportada por Veria AI.

Primero, esta era una vulnerabilidad grave, y no lo tomamos a la ligera.…

— J. Ayo Akinyele (@ja_akinyele) 10 de octubre de 2026

El riesgo documentado era la posible creación de XRP no autorizado y gastable, no una pérdida confirmada de fondos de usuarios. Los investigadores no encontraron evidencia de explotación en redes públicas, y la divulgación principal no establece que se hayan perdido fondos. La lectura correcta es que se trató de una vulnerabilidad grave que fue parcheada, no de una violación confirmada del suministro.

La antigüedad del error sigue siendo significativa. Un defecto en una ruta central de pagos persistió en el código base durante más de una década, mientras que una verificación de seguridad destinada a prevenir la creación de XRP no detectó el mismo problema aritmético. En términos de trading, la vulnerabilidad expuso un punto ciego en una regla que debería haber funcionado como un cortacircuito.

Los incidentes de seguridad relacionados con XRP también pueden involucrar sistemas muy distintos. El compromiso de una wallet o un servicio, por ejemplo, no es lo mismo que una falla en las reglas de transacción del ledger, como lo ilustra el caso aparte de un hackeo de salud relacionado con XRP.

La vulnerabilidad fue reportada por Veria AI, que ayudó a descubrir el problema a través del programa de bug bounty de XRPL, tras la divulgación del viernes 9 de octubre. Los programas de bug bounty son un mecanismo común en la industria blockchain para obtener revisiones de seguridad de investigadores externos, quienes reportan las fallas de manera privada para que las correcciones se lancen primero. Akinyele agregó: "La IA está cambiando fundamentalmente la rapidez con la que se pueden descubrir vulnerabilidades".

Dado que la corrección llegó a la red a través de un lanzamiento de software en lugar de una enmienda al protocolo, los indicadores prácticos de aquí en adelante son operativos: los operadores de servidor que adopten la versión parcheada xrpld 3.4.1 y cualquier detalle técnico adicional en el informe de divulgación de la Foundation.

Fuente: 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure