L'XRP Ledger (XRPL) ha attivato un aggiornamento di sicurezza il 4 novembre 2026, chiudendo una falla che avrebbe potuto consentire ad account autorizzati solo a distruggere token di crearne di nuovi senza autorizzazione. L'emendamento rafforza i controlli sugli asset digitali emessi, comprese le stablecoin, e lascia invariata l'offerta nativa di XRP.

Noto come fixCleanup3_4_0, la modifica è entrata in vigore alle 14:52 UTC sul ledger 108,112,129. L'attivazione è arrivata con quasi due settimane di ritardo rispetto ai piani, dopo che il supporto dei validatori si è temporaneamente ridotto durante ottobre.

Chiusa la falla della creazione non autorizzata di token

La falla si trovava nel sistema di delega dei permessi del ledger, una funzionalità che consente ai proprietari di account di affidare compiti specifici ad altri account senza condividere le chiavi private. In determinate condizioni, un account con autorizzazione PaymentBurn poteva creare token fungibili pur avendo il mandato limitato alla loro distruzione.

L'esposizione aveva particolare rilevanza per gli emittenti di stablecoin e gli istituti finanziari che si affidano ai permessi delegati degli account. Un emittente di stablecoin, ad esempio, potrebbe concedere a un processore di pagamenti l'autorità di distruggere token quando i clienti li riscattano in dollari. La vulnerabilità avrebbe potuto consentire allo stesso processore di emettere token aggiuntivi senza ricevere un'autorizzazione separata per la creazione — token che sarebbero entrati in circolazione senza riserve corrispondenti a copertura.

fixCleanup3_4_0 elimina la falla separando rigorosamente i diritti di distruzione dei token dai diritti di creazione. CoinDesk aveva precedentemente riferito di non aver trovato prove pubbliche che attaccanti avessero sfruttato la debolezza.

Il supporto dei validatori si è ridotto prima dell'attivazione

L'aggiornamento era originariamente previsto per il 23 ottobre. Il 21 ottobre, tuttavia, il supporto è sceso a 26 dei 35 validatori affidabili, interrompendo la finestra di approvazione obbligatoria della rete. Gli emendamenti XRPL devono mantenere un supporto dei validatori superiore all'80% per 14 giorni consecutivi prima di entrare in vigore — con 35 validatori nel gruppo monitorato, erano richiesti almeno 29 voti favorevoli.

Il supporto si è ripristinato circa due ore dopo, ma l'interruzione ha azzerato il conto alla rovescia dell'approvazione. La rete ha successivamente ottenuto il sostegno sufficiente e, poiché la finestra di 14 giorni conta solo il supporto continuativo, il 4 novembre segnava la prima data in cui il requisito poteva essere nuovamente soddisfatto — il giorno in cui l'emendamento è entrato in vigore.

Correzioni aggiuntive per l'infrastruttura DeFi

Oltre alla correzione dei permessi, fixCleanup3_4_0 introduce modifiche che interessano gli automated market maker, i vault per asset, i calcoli di lending e l'elaborazione delle transazioni. Migliora la precisione degli arrotondamenti durante depositi e prelievi dai vault, affronta i calcoli di clawback dei trading pool ed evita che determinati prestiti vengano classificati come scaduti prima delle loro scadenze di rimborso.

Queste correzioni non attivano automaticamente l'infrastruttura di lending nativa proposta per l'XRP Ledger; tale funzionalità dipende da emendamenti separati che otterranno un'approvazione sufficiente dei validatori. La capacità di tali proposte di mantenere il sostegno della supermaggioranza nella stessa finestra di 14 giorni determinerà quando il lending nativo arriverà sul ledger.

L'attivazione riuscita rafforza i controlli sui permessi per le aziende che emettono asset digitali su XRPL e illustra come il processo di approvazione dei validatori della rete possa ritardare gli aggiornamenti quando il consenso si indebolisce temporaneamente.