Una vulnerabilità di sicurezza risalente al 2015 nell'XRP Ledger avrebbe potuto consentire ad attaccanti di creare grandi quantità di XRP senza pagarlo, compromettendo potenzialmente l'offerta fissa di 100 miliardi di token della rete.

Il ricercatore Cayden Liao, in collaborazione con Veria AI, ha scoperto la vulnerabilità e l'ha segnalata privatamente al team di sviluppo di Ripple il 22 settembre 2026. Gli ingegneri di RippleX hanno riprodotto l'attacco su un server di test privato e hanno confermato che un attaccante poteva generare nuovo XRP e spenderlo successivamente come se fossero token legittimi.

Ripple ha dichiarato di non aver trovato evidenze che il metodo fosse mai stato utilizzato sulla rete pubblica. Gli sviluppatori hanno risolto il problema nell'aggiornamento software xrpld 3.4.1 rilasciato il 25 settembre, sebbene l'aggiornamento non spiegasse pubblicamente la vulnerabilità all'epoca. La correzione silenziosa segue il consueto modello di divulgazione responsabile, in cui i ricercatori segnalano le vulnerabilità privatamente così che i manutentori possano rilasciare una correzione prima che i dettagli tecnici diventino pubblici. Come accade generalmente per il software del ledger, la riparazione avrà pieno effetto man mano che validator e operatori di nodi eseguono l'aggiornamento alla versione corretta.

La divulgazione è stata seguita da un post di Coin Bureau su X:

⚡️GOOD NEWS: XRP Ledger patches a DECADE-OLD security flaw that could have created BILLIONS of dollars worth of XRP out of thin air. The bug, dating back to 2015, could have allowed attackers to generate and spend $XRP without funding it, potentially breaking the token's fixed… pic.twitter.com/06X2rrPRHE — Coin Bureau (@coinbureau) October 10, 2026

Come funzionava la vulnerabilità

Tutti i 100 miliardi di XRP furono creati al lancio del ledger nel 2012, e il software era progettato per impedire l'emissione di monete aggiuntive. La vulnerabilità riguardava il sistema di exchange integrato dell'XRP Ledger, dove gli utenti pubblicano offerte per scambiare un token con un altro.

Un attaccante avrebbe potuto aprire centinaia di piccoli account. Ciascun account poteva quindi offrire una piccola quantità di un token in cambio di una quantità molto elevata di XRP. Inviando un singolo pagamento che soddisfava tutte le offerte contemporaneamente, l'attaccante poteva far superare al totale di XRP dovuto ciò che il sistema era in grado di calcolare correttamente.

In quelle condizioni, gli account che vendevano i token venivano pagatimente, mentre l'account che effettuava l'acquisto veniva addebitato di quasi nulla. Il risultato sarebbe stato la comparsa di nuovo XRP senza un corrispondente costo per l'attaccante.

Una salvaguardia integrata destinata a rilevare la creazione di nuovo XRP non ha funzionato perché si basava sullo stesso calcolo. Un limite separato sulla quantità di XRP che un singolo account poteva ricevere non ha inoltre impedito l'exploit, poiché l'attaccante poteva distribuire i token tra più account.

Eseguire l'attacco avrebbe richiesto solo una piccola quantità di XRP per creare gli account, oltre alle normali commissioni di transazione — un costo abbastanza basso che la fattibilità dell'exploit dipendeva dalla vulnerabilità software stessa piuttosto che da un capitale significativo.

Aggiornamento software XRPL e funzionalità Batch

La vulnerabilità è stata uno dei diversi bug più datati delle criptovalute identificati quest'anno con l'ausilio di strumenti AI, dopo scoperte simili riguardanti il wallet Coldcard e il software Core Lightning. In ciascun caso, le vulnerabilità erano rimaste inosservate per anni in sistemi ampiamente utilizzati, prima che l'analisi assistita dall'AI le portasse alla luce.

Separatamente, l'XRP Ledger ha attivato una funzionalità chiamata Batch sulla sua rete principale. Batch consente agli utenti di combinare da due a otto transazioni in un'unica azione. Trenta dei 35 validator della rete hanno approvato la modifica, raggiungendo la supermaggioranza richiesta di due settimane per l'attivazione.

La funzionalità include quattro impostazioni. Una impostazione richiede che ogni transazione nel batch abbia successo; se una qualsiasi delle transazioni incluse fallisce, l'intero gruppo fallisce. Questa modalità tutto-o-nulla è mirata a un errore comune nei trade multi-step, dove l'esecuzione di una gamba senza l'altra può lasciare un trader con una posizione inattesa. I sostenitori affermano che Batch potrebbe essere utile per trade, regolamenti e scambi di token non fungibili che richiedono il verificarsi simultaneo di più passaggi. La documentazione Batch dell'XRP Ledger è disponibile su

In un'analoga novità, Evernorth, società legata a XRP, si prepara a quotarsi alla borsa Nasdaq con il ticker XRPN. La società ha dichiarato che la data di quotazione è stata spostata dall'8 al 12 ottobre a causa di un ritardo amministrativo. Per i lettori che seguono le società quotate legate a XRP, il debutto riprogrammato e l'entità delle partecipazioni pianificate della società sono gli elementi da monitorare nel breve termine.

Secondo i documenti depositati presso la Securities and Exchange Commission, Evernorth prevede di detenere circa 473 milioni di XRP al completamento della quotazione.

Report originale: https://coincentral.com/xrp-ledger-fixes-old-bug-that-could-have-created-billions-in-fake-tokens/