L'XRP Ledger ha risolto una falla di sicurezza critica che avrebbe consentito a un attaccante di creare fino a 18.000 miliardi di XRP, una cifra molto superiore all'offerta fissa della rete. Il ricercatore di sicurezza Cayden Liao, che ha scoperto il bug decennale, ha ricevuto un bounty di 250.000 dollari, e gli sviluppatori di RippleX e della XRP Ledger Foundation hanno messo in sicurezza la rete prima di divulgare pubblicamente la vulnerabilità in un rapporto ufficiale di divulgazione.

Un bug di overflow minacciava l'offerta fissa di XRP

La vulnerabilità si trovava nel motore di pagamenti del ledger ed era un bug di overflow, una classe comune di difetto software in cui un calcolo supera il valore massimo che il suo campo dati può contenere, producendo risultati non previsti. Secondo Liao, una transazione appositamente costruita avrebbe potuto generare XRP spendibili oltre l'offerta fissa, mettendo a rischio l'integrità finanziaria della rete.

L'XRP Ledger è stato lanciato nel 2012 con un tetto massimo di 100 miliardi di XRP. A differenza di molte altre criptovalute, XRP non può essere minato né staked sulla rete, e piccole quantità vengono distrutte in modo permanente con ogni transazione come commissioni, una dinamica che riduce lentamente il numero di XRP in circolazione. La falla appena rivelata avrebbe potuto aggirare questa restrizione sull'offerta.

Liao ha dichiarato che il suo team ha sviluppato una proof of concept in grado di generare circa 18.000 miliardi di XRP con una singola transazione, circa 184 volte l'offerta iniziale della rete. Con XRP che detiene una capitalizzazione di mercato di circa 94 miliardi di dollari, una exploitation riuscita avrebbe potuto danneggiare la fiducia nell'asset e nel mercato più ampio. Gli sviluppatori hanno tuttavia dichiarato che nessun attaccante è stato trovato aver sfruttato la falla sulle reti pubbliche.

Patch di emergenza e divulgazione coordinata

La vulnerabilità è stata segnalata tramite il programma di bug bounty XRPL il 22 settembre 2026. Gli sviluppatori hanno rilasciato una patch il 25 settembre nella versione 3.4.1 di xrpld, e la divulgazione indica che oltre l'80% dei validator predefiniti ha aggiornato il proprio software lo stesso giorno.

In modo significativo, gli sviluppatori hanno saltato la consueta votazione di due settimane sull'emendamento dei validator e hanno invece seguito una procedura di emergenza, che ha consentito loro di affrontare la minaccia senza rivelare i dettagli tecnici al pubblico. L'approccio riflette la pratica di divulgazione coordinata comune nell'industria del software, in cui le correzioni vengono rilasciate e distribuite prima che i dettagli diventino pubblici, riducendo la finestra in cui potenziali attaccanti potrebbero agire sull'informazione. La divulgazione coordinata è seguita il 9 ottobre, dopo la messa in sicurezza della rete. Liao ha reso pubblica la scoperta e il premio in un post su X.

L'episodio ha inoltre dimostrato che anche software ampiamente revisionato può ancora contenere debolezze gravi. Il codice difettoso risaliva al2015, e l'exploit si basava su una combinazione di due bug che singolarmente potevano sembrare meno minacciosi nelle revisioni precedenti, uno schema familiare nella ricerca sulla sicurezza, in cui falle che appaiono minori isolate possono aggravarsi quando combinate. Il team di Liao ha vinto il premio massimo di 250.000 dollari del programma, con il ricercatore che ha definito la scoperta un "reperto di sicurezza insolitamente significativo". La proof of concept rivendicata, tuttavia, era una dimostrazione d'attacco e non un exploit che ha causato danni reali.

Nessuna evidenza di exploitation

Negli ultimi anni, l'XRP Ledger è stato oggetto di numerosi audit e sfide di sicurezza, e la divulgazione nota che la rete ha assegnato oltre 1 milione di dollari in bug bounty. Tali programmi incoraggiano i ricercatori a segnalare le vulnerabilità in modo responsabile invece di lasciarle aperte allo sfruttamento da parte di attaccanti, un modello di incentivo ormai comune nell'industria blockchain.

L'incidente ricorda l'importanza degli aggiornamenti software tempestivi nelle reti blockchain. I validator sono cruciali perché il loro software mantiene il ledger funzionante e sicuro, e upgrade tempestivi quando emergono vulnerabilità critiche possono ridurre al minimo l'esposizione. L'adozione entro il primo giorno della patch del 25 settembre da parte di oltre l'80% dei validator predefiniti ha mostrato questa dinamica in azione.

Nonostante la gravità del potenziale exploit, non sono state segnalate creazioni non autorizzate di XRP, e gli sviluppatori non hanno trovato evidenze che alcun utente sulle reti pubbliche abbia perso fondi a causa della falla. Una grande minaccia teorica è quindi stata eliminata senza alcun incidente sulla rete pubblica.