Una vulnerabilidad en el sistema de pagos del XRP Ledger podría haber permitido a un atacante crear grandes cantidades de nuevo XRP sin pagar por ellas, rompiendo la regla de suministro fijo del token, según un informe de seguridad publicado el viernes.

El error, que se cree data de 2015, fue descubierto por el investigador Cayden Liao y Veria AI e informado internamente el 22 de septiembre. Ingenieros de RippleX, el brazo de desarrollo de Ripple, reprodujeron el ataque en un servidor independiente —un entorno de pruebas aislado— y confirmaron que el XRP recién creado podía gastarse en una transacción posterior.

RippleX declaró que no encontró evidencia de que la falla hubiera sido explotada en alguna red pública. La empresa lanzó una corrección en xrpld 3.4.1, el software de servidor del ledger, el 25 de septiembre, sin divulgar públicamente qué reparaba la versión —una secuencia habitual en la divulgación coordinada de vulnerabilidades, que da a los operadores tiempo para actualizar antes de que los detalles técnicos que podrían permitir ataques se hagan públicos. Los detalles se publicaron posteriormente en el informe de divulgación de vulnerabilidad oficial del equipo. Como el parche reside en el propio software del servidor, su cobertura en la red depende de que los operadores adopten la versión actualizada.

Los investigadores demostraron cómo un solo pago podía crear XRP gastable sin que el remitente lo financiara, lo que impulsó la publicación de emergencia del software. De no haberse corregido, la falla podría haber vulnerado el suministro fijo de 100.000 millones de tokens de la criptomoneda.

Una amenaza directa al límite de suministro

Los 100.000 millones de XRP se crearon cuando el ledger se lanzó en 2012, y su software está diseñado para que nunca se puedan añadir más. Como esa escasez se aplica enteramente en código y no por ninguna parte emisora, un error capaz de acuñar tokens habría atacado la garantía más fundamental del ledger. Sin embargo, la vulnerabilidad de seguridad podría haber permitido a un atacante crear XRP de la nada y venderlo en exchanges, socavando el límite estricto de suministro del que dependen las instituciones que construyen sobre la red.

Cómo funcionaba el ataque

El exploit atacaba el exchange integrado del ledger, donde las cuentas publican ofertas para intercambiar un token por otro.

En teoría, un atacante podía abrir cientos de cuentas, hacer que cada una ofreciera una cantidad mínima de un token a cambio de una cantidad inusualmente grande de XRP, y luego enviar un solo pago que compraba todas las ofertas a la vez. El total de XRP adeudado entre esas ofertas combinadas sería demasiado grande para que el software lo contara correctamente. Como resultado, las cuentas vendedoras del atacante se pagarían en su totalidad mientras que a la cuenta compradora se le cobraría casi nada —dejando al atacante con XRP que nunca había existido.

En la práctica, la vulnerabilidad era un error de conteo en el exchange integrado, uno que podría haber permitido que cientos de cuentas recibieran grandes cantidades de XRP mientras el comprador pagaba casi nada.

Por qué las salvaguardas existentes no lo detectaron

El XRP Ledger ejecuta una verificación después de cada transacción para aseg que no haya aparecido nuevo XRP, pero esa verificación habría dependido del mismo total mal contado y habría pasado por alto la discrepancia. Un límite independiente sobre cuánto XRP puede recibir una sola cuenta tampoco se habría activado, porque el ataque distribuía los tokens recién creados entre cientos de cuentas.

El método de los investigadores requería solo unos pocos cientos de XRP para abrir esas cuentas —la mayoría de los cuales fueron recuperados después— más las tarifas estándar de transacción.

Parte de un patrón más amplio

El incidente se suma a una serie de fallas de seguridad cripto ocultas durante mucho tiempo que han salido a la luz con ayuda de la IA desde julio, incluido el error de la billetera Coldcard detrás del robo de al menos 1.367 BTC y las vulnerabilidades que obligaron a Core Lightning a pedir a los operadores de nodos de bitcoin que se desconectaran.