Una falla de seguridad que data de 2015 en el XRP Ledger pudo haber permitido a atacantes crear grandes cantidades de XRP sin pagarlo, lo que habría podido romper la oferta fija de 100 mil millones de tokens de la red.

El investigador Cayden Liao, en colaboración con Veria AI, descubrió la vulnerabilidad y la reportó de manera privada al equipo de desarrolladores de Ripple el 22 de septiembre de 2026. Los ingenieros de RippleX recrearon el ataque en un servidor privado de pruebas y confirmaron que un atacante pudo haber generado nuevo XRP y luego gastarlo como si fueran tokens legítimos.

Ripple indicó que no encontró evidencia de que el método se haya utilizado alguna vez en la red pública. Los desarrolladores solucionaron el problema en la actualización de software xrpld 3.4.1 publicada el 25 de septiembre, aunque la actualización no explicó públicamente la vulnerabilidad en su momento. La corrección discreta sigue el patrón estándar de divulgación responsable, en el que los investigadores reportan fallas de forma privada para que los mantenedores publiquen un arreglo antes de que los detalles técnicos se hagan públicos. Como ocurre generalmente con el software del ledger, la reparación surte pleno efecto a medida que los validadores y operadores de nodos actualizan a la versión corregida.

La divulgación se produjo después de una publicación de Coin Bureau en X:

⚡️GOOD NEWS: XRP Ledger patches a DECADE-OLD security flaw that could have created BILLIONS of dollars worth of XRP out of thin air. The bug, dating back to 2015, could have allowed attackers to generate and spend $XRP without funding it, potentially breaking the token's fixed… pic.twitter.com/06X2rrPRHE — Coin Bureau (@coinbureau) October 10, 2026

Cómo funcionaba la vulnerabilidad

Los 100 mil millones de XRP se crearon cuando el ledger se lanzó en 2012, y el software fue diseñado para impedir la emisión de monedas adicionales. La vulnerabilidad involucraba al sistema de exchange integrado del XRP Ledger, donde los usuarios publican ofertas para intercambiar un token por otro.

Un atacante pudo haber abierto cientos de cuentas pequeñas. Cada cuenta podía ofrecer una pequeña cantidad de un token a cambio de una cantidad muy grande de XRP. Al enviar un solo pago que cubriera todas las ofertas al mismo tiempo, el atacante podía hacer que el monto total de XRP adeudado superara lo que el sistema podía calcular correctamente.

Bajo esas condiciones, las cuentas que vendían los tokens recibían el pago completo, mientras que la cuenta que realizaba la compra casi no pagaba nada. El resultado sería la aparición de XRP recién creado sin un costo correspondiente para el atacante.

Una salvaguarda integrada destinada a detectar la creación de nuevo XRP falló porque se basaba en el mismo cálculo. Un límite separado sobre la cantidad de XRP que una cuenta podía recibir tampoco impidió el exploit, porque el atac podía distribuir los tokens entre múltiples cuentas.

Ejecutar el ataque habría requerido solo una pequeña cantidad de XRP para crear las cuentas, además de las comisiones estándar de transacción, un costo lo suficientemente bajo como para que la viabilidad del exploit dependiera de la falla de software en sí y no de un capital significativo.

Actualización del software XRPL y función Batch

La vulnerabilidad fue una de varias fallas antiguas de criptomonedas identificadas este año con la ayuda de herramientas de IA, tras hallazgos similares en la billetera Coldcard y el software Core Lightning. En cada caso, las fallas pasaron desapercibidas durante años en sistemas de uso generalizado antes de que la revisión asistida por IA las sacara a la luz.

Por separado, el XRP Ledger activó una función llamada Batch en su red principal. Batch permite a los usuarios combinar entre dos y ocho transacciones en una sola acción. Treinta de los 35 validadores de la red aprobaron el cambio, alcanzando la supermayoría requerida de dos semanas para la activación.

La función incluye cuatro configuraciones. Una de ellas exige que todas las transacciones de un lote tengan éxito; si alguna falla, todo el grupo falla. Ese modo de todo o nada apunta a un problema común en operaciones de múltiples pasos, donde la ejecución de una pierna sin la otra puede dejar a un operador con una posición inesperada. Los partidarios afirman que Batch podría ser útil para operaciones, liquidaciones e intercambios de tokens no fungibles que requieren que varios pasos ocurran en conjunto. La documentación de Batch del XRP Ledger está disponible en

En un desarrollo relacionado, la empresa vinculada a XRP, Evernorth, se prepara para cotizar en la bolsa Nasdaq bajo el ticker XRPN. La empresa dijo que su fecha de listado se movió del 8 de octubre al 12 de octubre debido a un retraso administrativo. Para los lectores que siguen a las empresas públicas vinculadas a XRP, el debut reprogramado y el tamaño de las tenencias planificadas de la compañía son los puntos a observar a corto plazo.

Según los documentos presentados ante la Securities and Exchange Commission, Evernorth espera mantener aproximadamente 473 millones de XRP una vez completado el listado.

Reporte original: https://coincentral.com/xrp-ledger-fixes-old-bug-that-could-have-created-billions-in-fake-tokens/