Rippleによると、XRP Ledgerのペイメントエンジンに存在した10年以上前からの欠陥により、攻撃者が理論上、ネットワークの固定供給上限である1,000億枚を超える使用可能なXRPを作成できた可能性があったという。同社は、修正が9月25日、公表前にxrpld 3.4.1へ同梱されて提供されたと述べており、調査ではこの脆弱性が公開ネットワーク上で悪用された証拠や、不正なXRPが発行された証拠は確認されなかった。

XRP Ledgerは分散型ブロックチェーンであり、ネイティブアセットであるXRPの供給はローンチ時から固定されており、追加のトークンを作成するトランザクションは認められていない。まさにそれこそが、この欠陥が注目に値する理由だった。つまり、この欠陥はLedgerの最も基本的な貨幣ルールを回避する潜在的手段を表していたのだ。

今回の公表は疑問や一部の誤解を招いたが、XRP Ledger FoundationはX上の投稿でこれに直接答えている:

最近のXRP Ledgerのセキュリティ修正について、多くの疑問といくつかの誤解が生じています。それを整理しましょう。

1. XRPは作成されたのか?

いいえ。XRPの供給はXRP Ledgerのローンチ時に1,000億枚で固定されており、それ以上を作成するトランザクションは認められていません。このバグはその回避手段になり得るものでした…

— XRP Ledger Foundation (@XRPLF) 2026年10月11日

この区別は重要だ。このバグはLedgerの供給ルールを脅かすものだったが、入手可能な証拠は、XRPの上限が実際に突破されたことを示していない。

RippleXのエンジニアリング担当シニアディレクター、J. Ayo Akinyele氏は「このバグはコードベースに10年以上存在しており、固定供給を超えるXRPの作成を許す可能性があった」と述べた。

なぜペイメントのバグがXRPの供給を脅かすのか?

この欠陥はペイメントエンジンに存在した。ペイメントエンジンとは、トランザクションがXRP Ledger内蔵の取引所のオファーを通じて取引される際に金額を計算するコンポーネントである。特殊な条件下で構築された状況では算術オーバーフローが発生得た。すなわち、オファー全体に対する実際の支払総額を返す代わりに、計算が桁あふれして遥かに小さい数値を返すことがあった。オーバーフローバグは、計算がその数値型が保持できる最大値を超えた際に発生する、長く知られてきた種類のソフトウェア欠陥である。

この不一致により、売り手が買い手の支払額を上回るXRPを受け取る可能性が生じた。Ledgerの供給上限は、1,000億XRPすべてが当初作成された時点で設定された。Proof-of-Work型ネットワークとは異なり、バリデータはトランザクション処理時に新しいXRPを採掘しない。したがって、追加のXRPを使用可能にし得るこの欠陥は、単一のアカウントではなく、基本的な貨幣ルールそのものを突くものだった。

RippleXは、開発者がパッチをテストし、問題が公表される前にネットワーク運営者とアップグレードを調整したと述べた。発表に先立って修正をリリースすることは、脆弱性の詳細が広く知られる前に運営者がアップグレードする時間を確保する、標準的な協調開示の慣行に沿ったものだ。修正は、トランザクションを処理しLedgerの記録を維持するサーバーソフトウェアであるxrpld 3.4.1に同梱された。XRP Ledger Foundationの脆弱性開示レポートには、ペイメントエンジンのオーバーフローとその是正措置の詳細が記されている。

この迅速なソフトウェア展開は、バリデータがプロトコルルールの変更を有効化するために用いるLedgerの改正プロセスとは異なる。過去のXRPL改正の有効化は、バリデータの支持がプロトコル変更の発効時期を左右し得ることを示してきたが、今回の供給欠陥の修正は、単にサーバーがパッチ済みリリースへアップグレードしたことで発効した。

この事案はXRPホルダーに何を意味するのか?

Akinyele氏は10月10日、X上の投稿でRippleXの対応を説明した:

セキュリティは、XRP Ledger(XRPL)への信頼を維持するための最優先事項です。Veria AIから報告された重大なペイメントエンジンの脆弱性が昨日公表されたことを受け、いくつかの見解を共有します。

第一に、これは重大な脆弱性であり、決して軽視していません。…

— J. Ayo Akinyele (@ja_akinyele) 2026年10月10日

記録されているリスクは、不正な使用可能なXRPが作成される可能性であって、ユーザー資金の喪失が確認されたものではない。調査では公開ネットワーク上での悪用の証拠は見つからず、一次開示でも資金が失われたことは立証されていない。正しく理解すれば、これは修正された重大な脆弱性であり、確認された供給の突破ではない。

バグの古さも依然として重要な点だ。中核的なペイメント経路の欠陥が10年以上もコードベースに残っていた一方で、XRPの作成を防ぐための安全チェックが同じ算術問題を検出できなかった。取引の用語で言えば、この脆弱性は、サーキットブレーカーとして機能するはずだったルールの盲点を露呈させた。

XRP関連のセキュリティ事故は、非常に異なるシステムにも関わり得る。例えば、ウォレットやサービスの侵害は、Ledgerのトランザクションルールの欠陥とは異なる。XRP関連のヘルスケアハッキング事例をめぐる区別がそれを示している。

この脆弱性は10月9日(金)の開示に続いて、XRPLバグバウンティプログラムを通じて問題の発見に貢献したVeria AIによって報告された。バグバウンティプログラムは、ブロックチェーン業界全体で外部研究者からセキュリティレビューを調達する一般的な仕組みであり、研究者は修正が先に提供されるよう欠陥を非公開で報告する。Akinyele氏は「AIは脆弱性が発見される速度を根本的に変えつつある」と付け加えた。

修正がプロトコル改正ではなくソフトウェアリリースを通じてネットワークに届いたため、今後の実務上の指標は運用面にある。すなわち、サーバー運営者がパッチ済みのxrpld 3.4.1リリースを採用すること、そしてFoundationの開示レポートに追加の技術的詳細が示されることである。

出典: 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure