XRP Ledger ha resuelto una falla de seguridad crítica que podría haber permitido a un atacante crear hasta 18 billones de XRP, una suma muy superior a la oferta fija de la red. El investigador de seguridad Cayden Liao, quien descubrió el bug con una década de antigüedad, recibió una recompensa de 250.000 dólares, y los desarrolladores de RippleX y la XRP Ledger Foundation aseguraron la red antes de divulgar públicamente la vulnerabilidad en un informe oficial de divulgación.

Un bug de desbordamiento amenazaba la oferta fija de XRP

La vulnerabilidad se encontraba en el motor de pagos del ledger y era un bug de desbordamiento, un tipo común de defecto de software en el que un cálculo excede el valor máximo que su campo de datos puede contener, produciendo resultados no deseados. Según Liao, una transacción especialmente manipulada podría haber generado XRP utilizable por encima de la oferta fija, poniendo en riesgo la integridad financiera de la red.

XRP Ledger se lanzó en 2012 con un límite de 100 mil millones de XRP. A diferencia de muchas otras criptomonedas, XRP no puede ser minado ni apostado en la red, y pequeñas cantidades se destruyen permanentemente con cada transacción en concepto de comisiones, una dinámica que reduce lentamente la cantidad de XRP en circulación. La falla recién revelada podría haber anulado esta restricción de oferta.

Liao dijo que su equipo desarrolló una prueba de concepto capaz de generar aproximadamente 18 billones de XRP mediante una sola transacción, alrededor de 184 veces la oferta inicial de la red. Con XRP manteniendo una capitalización de mercado de alrededor de 94.000 millones de dólares, una explotación exitosa podría haber dañado la confianza en el activo y en el mercado en general. Los desarrolladores indicaron, sin embargo, que no se ha encontrado ningún atacante que haya explotado la falla en redes públicas.

Parche de emergencia y divulgación coordinada

La vulnerabilidad fue reportada a través del programa de bug bounty de XRPL el 22 de septiembre de 2026. Los desarrolladores publicaron un parche el 25 de septiembre en la versión 3.4.1 de xrpld, y la divulgación indica que más del 80% de los validadores predeterminados actualizaron su software ese mismo día.

Cabe destacar que los desarrolladores omitieron la votación estándar de dos semanas para enmiendas de los validadores y en su lugar siguieron un proceso de emergencia, lo que les permitió abordar la amenaza sin revelar detalles técnicos al público. El enfoque refleja la práctica de divulgación coordinada común en la industria del software, en la que las correcciones se lanzan y despliegan antes de que los detalles se hagan públicos, reduciendo la ventana en la que posibles atacantes podrían actuar con esa información. La divulgación coordinada se produjo el 9 de octubre, después de que la red hubiera sido asegurada. Liao difundió el hallazgo y la recompensa en una publicación en X.

El episodio también demostró que incluso el software extensamente revisado puede contener debilidades graves. El código defectuoso databa de 2015, y la explotación se basaba en la combinación de dos bugs que individualmente podrían haber parecido menos amenazantes en revisiones anteriores, un patrón familiar en la investigación de seguridad, donde fallas que parecen menores por separado pueden agravarse al combinarse. El equipo de Liao obtuvo el premio máximo del programa de 250.000 dólares, y el investigador calificó el descubrimiento como un "hallazgo de seguridad inusualmente significativo". La prueba de concepto reclamada, sin embargo, fue una demostración de ataque y no una explotación que causara daños reales.

Sin evidencia de explotación

En los últimos años, XRP Ledger ha sido objeto de numerosas auditorías y desafíos de seguridad, y la divulgación señala que la red ha otorgado más de 1 millón de dólares en recompensas por bugs. Dichos programas alientan a los investigadores a reportar vulnerabilidades de manera en lugar de dejarlas abiertas a la explotación por atacantes, un modelo de incentivos ahora común en la industria de blockchain.

El incidente sirve como recordatorio de la importancia de las actualizaciones de software oportunas en las redes blockchain. Los validadores son cruciales porque su software mantiene el ledger funcionando y seguro, y las actualizaciones rápidas cuando surgen vulnerabilidades críticas pueden minimizar la exposición. La adopción desde el primer día del parche del 25 de septiembre por más del 80% de los validadores predeterminados mostró esa dinámica en acción.

A pesar de la gravedad de la posible explotación, no hubo reportes de creación no autorizada de XRP, y los desarrolladores no encontraron evidencia de que algún usuario en redes públicas perdiera fondos debido a la falla. Una gran amenaza teórica fue, por lo tanto, eliminada sin ningún incidente en la red pública.