La Fundación de XRP Ledger ha explicado cómo los desarrolladores y validadores respondieron a una vulnerabilidad que podría haber permitido a un atacante crear XRP gastable mediante un pago deliberadamente construido. La Fundación afirmó que no se creó XRP a través de la falla y que no hay evidencia de que haya sido explotada en la red pública.

La declaración del 11 de octubre se centró en la respuesta en lugar de repetir los detalles técnicos de la vulnerabilidad. Una explicación anterior del error está disponible en el informe de Coindoo. El informe de divulgación técnica de la Fundación está disponible en el sitio web de XRP Ledger.

Los datos públicos del ledger respaldan la afirmación sobre el suministro

XRP se lanzó con un suministro fijo de 100 mil millones, y las comisiones de transacción se destruyen con el tiempo. La Fundación indicó que actualmente existen aproximadamente 99.986 mil millones de XRP.

El informe de divulgación técnica señaló que el equipo no encontró evidencia de que la vulnerabilidad hubiera sido explotada en la red pública. La afirmación puede evaluarse contra el historial de transacciones validadas y los saldos de cuentas del XRP Ledger, que están disponibles públicamente para revisión independiente a través de exploradores y otros servicios de datos.

"No necesitan confiar en nosotros en esto", escribió la Fundación. Los nuevos XRP aparecerían en los saldos de las cuentas, porque no existe un área de saldos oculta en el XRP Ledger. La Fundación dijo que monitorea el ledger de forma continua y que ha verificado el suministro a lo largo de la historia de la red, mientras que otros miembros de la comunidad han realizado sus propias comprobaciones.

Los registros públicos no pueden revelar cada conversación privada previa a la divulgación ni establecer la intención detrás de un ataque que nunca fue enviado a la red. Sin embargo, sí pueden mostrar transacciones validadas, cambios de saldo visibles y el suministro registrado. Esa información proporciona una base para cuestionar las afirmaciones de que grandes cantidades de XRP fueron acuñadas en secreto y dejadas ocultas en la red.

Por qué la corrección se publicó antes de la divulgación técnica

Bajo el proceso de gobernanza estándar del XRP Ledger, los cambios en las reglas de transacción se introducen mediante enmiendas. Los validadores deben mantener más del 80% de apoyo durante dos semanas antes de que una enmienda se active. Este proceso da tiempo a los operadores para actualizarse y permite que la red adopte un cambio en el mismo punto.

La corrección del desbordamiento siguió una ruta diferente porque la vulnerabilidad se consideraba un riesgo activo. Según el informe de divulgación, publicar el código que revelaba la falla exacta antes de que los servidores más antiguos estuvieran protegidos podría haber facilitado la identificación de la ruta de ataque. Por, la versión 3.4.1 aplicó la protección a medida que cada servidor se actualizaba, en lugar de esperar el proceso público normal de enmiendas.

La Fundación resumió su explicación en una publicación en X:

La reciente corrección de seguridad del XRP Ledger generó muchas preguntas y algunos malentendidos. Vamos a aclararlos.

1. ¿Se creó algún XRP?

No. El suministro de XRP se fijó en 100 mil millones cuando se lanzó el XRP Ledger, y ninguna transacción puede crear más. Este error era una forma de eludir esa regla, y 3.4.1 lo corrigió hace 2 semanas.

No necesitan confiar en nosotros en esto. Todos los datos del ledger son públicos, y los exploradores y sitios de datos los leen todos los días. Los nuevos XRP aparecerían en los saldos de las cuentas para que todos los vean. No hay un lugar oculto para XRP en el XRP Ledger, cada saldo es público.

Monitoreamos el XRP Ledger las 24 horas, los 7 días de la semana, y hemos verificado el suministro a lo largo de la historia del ledger. Otros en la comunidad también lo han verificado, y cualquiera puede hacer lo mismo.

Las comisiones de transacción se destruyen, por lo que el suministro es deflacionario. Hoy existen unos 99.986 mil millones de XRP.

1. ¿Cómo pasó desapercibido esto, y qué sigue?

Ningún pago normal se acerca siquiera a activarlo. Se necesitaron cientos de operaciones deliberadamente construidas.

La IA hace que errores como este sean más rápidos de encontrar, tanto para los malos como para los buenos.

Junto con RippleX y la comunidad, nos aseguraremos de que el XRP Ledger esté protegido contra este tipo de vulnerabilidades. Esto significa aplicar de manera radical la Verificación Formal y las pruebas adversarias con IA, colaborar estrechamente con investigadores de seguridad y fortalecer el programa de recompensas por errores.

Escucharán mucho más sobre esto a medida que avancemos.

1. La descentralización del XRP Ledger en el centro de esto.

Una corrección pública muestra a los atacantes dónde está el error, y la IA hace que eso sea rápido. Con una votación normal de enmienda, la corrección habría sido pública durante semanas antes de entrar en vigor, arriesgando la seguridad de la red.

Como reacción a esto, la comunidad de XRPL se unió, y entre ellos la Fundación de XRP Ledger, RippleX, los desarrolladores principales y los validadores formaron un consenso social y acordaron un camino que implica enviar la corrección directamente. Parchar una red en vivo nunca es trivial, por lo que el plan también fue diseñado para minimizar las interrupciones para todos los que operan en ella.

Compartimos la compilación con los validadores de UNL predeterminada, utilizando los datos de contacto que cada uno publica en su archivo xrp-ledgerl. Los binarios públicos siguieron el mismo día, 25 de septiembre.

Ninguna parte podía tomar esa decisión por sí sola. Cada validador y operador de nodo elige qué software ejecutar, y 3.4.1 solo se volvió obligatoria mediante una votación normal de enmienda con más del 80% de apoyo de los validadores durante dos semanas. Los cambios de protocolo aún pasan por enmiendas.

Un gran agradecimiento a Cayden Liao y Veria AI por encontrar y reportar esto de manera responsable, a los desarrolladores principales de XRPL por construir y probar la corrección, y a cada operador de nodo que se actualizó tan rápido, especialmente a los validadores.

Informe completo:

— XRP Ledger Foundation (@XRPLF) October 11, 2026

La Fundación describió la publicación directa del software como una respuesta excepcional y no como un reemplazo de la gobernanza ordinaria. Su informe indicó que este fue el primer cambio directo deliberado al procesamiento de transacciones desde que el sistema de enmiendas fue introducido hace más de una década. Los futuros cambios de protocolo, dijo, seguirán requiriendo enmiendas respaldadas por los validadores.

Los validadores mantuvieron el control sobre la instalación del software

La Fundación afirmó que compartió la compilación parchada con los operadores de los validadores de UNL predeterminada antes de publicar los binarios públicos el 25 de septiembre. Esos operadores decidieron si ejecutaban la nueva versión. Ni la Fundación ni RippleX podían forzar una actualización en servidores operados de forma independiente.

Esto creó un breve período en el que los servidores parchados y no parchados seguían reglas diferentes para la ruta de pago especializada. Según el informe de XRPL, un intento de explotación durante ese período podría haber causado desacuerdos entre las versiones y potencialmente haber interrumpido la validación. El equipo consideró que ese riesgo era preferible a dejar abierta, durante un período de activación pública más largo, un ataque de inflación potencialmente irreversible.

La respuesta fue coordinada a través de la Fundación de XRP Ledger, RippleX, los desarrolladores principales y los validadores, pero ninguna organización podía tomar la decisión por sí sola. Cada validador y operador de nodo elige qué software ejecutar, mientras que el sistema de enmiendas sigue siendo el mecanismo para hacer obligatorios los cambios de protocolo.

Qué significa la divulgación para usuarios y operadores

El informe no instruyó a los poseedores de XRP a mover fondos ni a reemplazar sus billeteras. Para los operadores de nodos, XRPL indicó que los servidores deben ejecutar la versión xrpld 3.4.1 o posterior para mantenerse sincronizados con la red. En términos prácticos, la remediación indicada se refería al software que mantiene la infraestructura del ledger y no a una acción de billetera solicitada a los poseedores de XRP.

La Fundación también señaló que un pago normal no se acercaría siquiera a activar la vulnerabilidad. La explotación requería cientos de operaciones deliberadamente construidas. Agregó que la inteligencia artificial puede hacer que las vulnerabilidades se encuentren más rápido, tanto para atacantes como para defensores.

Medidas de seguridad planificadas

La Fundación afirmó que planea ampliar el uso de la verificación formal y las pruebas adversarias con IA, colaborar más estrechamente con investigadores de seguridad externos y fortalecer su programa de recompensas por errores. Estas medidas no pueden garantizar que no surja nuevamente un problema crítico, pero están destinadas a mejorar las probabilidades de que las vulnerabilidades identifiquen antes de un lanzamiento de producción.

El informe de divulgación también describe una medida de control de lanzamientos. Los hallazgos de seguridad marcados como corregidos deben probarse nuevamente contra el candidato de lanzamiento que contiene el parche, y el problema original reportado debe reproducirse antes de cerrar el hallazgo. Ese proceso brinda a los investigadores externos un estándar definido contra el cual pueden evaluarse los lanzamientos posteriores.

La vulnerabilidad expuso una debilidad grave en una regla diseñada para preservar el suministro fijo de XRP. La respuesta ha dejado un registro público propio: un informe de recompensas por errores, una actualización acelerada de los validadores, una divulgación técnica posterior y compromisos para fortalecer las prácticas de seguridad. El grado en que esos compromisos se conviertan en una práctica habitual de los futuros lanzamientos determinará la importancia a largo plazo del incidente.

Este artículo tiene fines informativos únicamente y no constituye asesoramiento de inversión. Los detalles sobre lanzamientos de software y divulgaciones de seguridad pueden cambiar a medida que esté disponible más información técnica.

Fuente: Coindoo.