Una falla decennale nel motore di pagamento dell'XRP Ledger avrebbe potuto, in teoria, permettere ad attaccanti di creare XRP spendibile oltre il tetto fisso di 100 miliardi di token della rete, secondo Ripple. L'azienda dichiara che la correzione è stata distribuita con xrpld 3.4.1 il 25 settembre — prima della divulgazione pubblica — e gli investigatori non hanno trovato evidenze che la vulnerabilità sia stata sfruttata su una rete pubblica o che sia stato emesso XRP non autorizzato.

L'XRP Ledger è una blockchain decentralizzata il cui asset nativo, XRP, ha un'offerta fissa dal lancio, il che significa che nessuna transazione è autorizzata a creare token aggiuntivi. È proprio questo che ha reso la falla rilevante: rappresentava un potenziale modo per aggirare la regola monetaria più elementare del ledger.

La divulgazione ha sollevato domande e alcuni malintesi, affrontati direttamente dalla XRP Ledger Foundation in un post su X:

La recente correzione di sicurezza dell'XRP Ledger ha sollevato molte domande e alcuni malintesi. Chiarliamoli.

1. È stato creato XRP?

No. L'offerta di XRP è stata fissata a 100 miliardi al lancio dell'XRP Ledger, e nessuna transazione è autorizzata a crearne di più. Questo bug era un modo per aggirare…

— XRP Ledger Foundation (@XRPLF) 11 ottobre 2026

Questa distinzione è importante: il bug minacciava le regole sull'offerta del ledger, ma le evidenze disponibili non mostrano che il tetto di XRP sia stato effettivamente violato.

J. Ayo Akinyele, senior director of engineering di RippleX, ha dichiarato: "Il bug esisteva nel codebase da oltre un decennio e avrebbe potuto consentire la creazione di XRP oltre la sua offerta fissa."

Come Poteva un Bug di Pagamento Minacciare l'Offerta di XRP?

La falla si trovava nel motore di pagamento, il componente che calcola gli importi quando una transazione negozià attraverso le offerte dello exchange integrato dell'XRP Ledger. In condizioni appositamente costruite, l'aritmetica poteva andare in overflow: invece di restituire il vero totale dovuto attraverso le offerte, il calcolo poteva ricominciare da capo e produrre un numero molto più piccolo. I bug di overflow sono una categoria di difetto software da tempo documentata, che si verifica quando un calcolo supera il valore massimo che il suo tipo numerico può memorizzare.

Questo disallineamento creava il potenziale affinché i venditori ricevessero più XRP di quanto pagato dall'acquirente. Il limite di offerta del ledger è stato fissato quando tutti i 100 miliardi di XRP sono stati creati alla nascita; a differenza delle reti proof-of-work, i validator non estraggono nuovo XRP mentre elaborano le transazioni. Una falla che poteva rendere spendibile XRP extra colpiva quindi una regola monetaria fondamentale, non semplicemente un singolo account.

RippleX ha dichiarato che gli sviluppatori hanno testato la patch e coordinato gli aggiornamenti con gli operatori di rete che il problema fosse divulgato pubblicamente. Il rilascio della correzione prima dell'annuncio segue la pratica standard della divulgazione coordinata, che dà agli operatori tempo per aggiornarsi prima che i dettagli della vulnerabilità diventino ampiamente noti. La correzione è stata inclusa in xrpld 3.4.1, il software server che elabora le transazioni e mantiene i registri del ledger. Il rapporto di divulgazione della vulnerabilità della XRP Ledger Foundation descrive in dettaglio l'overflow del motore di pagamento e la sua remediation.

Questo rapido rilascio software è distinto dal processo di emendamento del ledger, che i validator utilizzano per attivare modifiche alle regole del protocollo. Le precedenti attivazioni di emendamenti XRPL hanno mostrato come il supporto dei validator possa determinare quando una modifica al protocollo entra in vigore; la correzione della falla sull'offerta è invece entrata in vigore semplicemente man mano che i server si aggiornavano alla release corretta.

Cosa Significa Questo Episodio per i Detentori di XRP?

Akinyele ha illustrato la risposta di RippleX in un post su X il 10 ottobre:

La sicurezza resta la nostra priorità assoluta per preservare la fiducia nell'XRP Ledger (XRPL). Condivido alcune riflessioni following la divulgazione di ieri della critica vulnerabilità del motore di pagamento segnalata da Veria AI.

Innanzitutto, si trattava di una vulnerabilità grave, e non la prendiamo alla leggera.…

— J. Ayo Akinyele (@ja_akinyele) 10 ottobre 2026

Il rischio documentato era la possibile creazione di XRP non autorizzato e spendibile — non una confermata perdita di fondi degli utenti. Gli investigatori non hanno trovato evidenze di sfruttamento su reti pubbliche, e la divulgazione principale non stabilisce che siano stati persi fondi. La lettura corretta è quella di una vulnerabilità grave che è stata corretta, non di una violazione confermata dell'offerta.

L'età del bug rimane significativa. Un difetto in un percorso di pagamento centrale è persistito nel codebase per più di un decennio, mentre un controllo di sicurezza destinato a tutelare contro la creazione di XRP non ha rilevato lo stesso problema aritmetico. In termini di trading, la vulnerabilità ha esposto un punto cieco in una regola che avrebbe dovuto fungere da interruttore di sicurezza.

Gli episodi di sicurezza legati a XRP possono coinvolgere anche sistemi molto diversi. Un compromissione di un wallet o di un servizio, ad esempio, non è la stessa cosa di una falla nelle regole di transazione del ledger, come illustrato dal caso separato di un hack nel settore sanitario legato a XRP.

La vulnerabilità è stata segnalata da Veria AI, che ha contribuito a scoprire il problema tramite il bug bounty program dell'XRPL, after la divulgazione di venerdì 9 ottobre. I bug bounty program sono un meccanismo comune nell'industria blockchain per ottenere revisioni di sicurezza da ricercatori esterni, che segnalano le falle privatamente così che le correzioni possano essere distribuite prima. Akinyele ha aggiunto: "L'AI sta cambiando radicalmente la velocità con cui le vulnerabilità possono essere scoperte."

Poiché la correzione è arrivata alla rete tramite una release software anziché un emendamento del protocollo, i riferimenti pratici da qui in avanti sono operativi: gli operatori dei server che adottano la release corretta xrpld 3.4.1, ed eventuali ulteriori dettagli tecnici nel rapporto di divulgazione della Foundation.

Fonte: 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure