XRP Ledgerは、攻撃者が最大18兆XRPを作成できた可能性のある重大なセキュリティ上の欠陥を解決しました。この10年前のバグを発見したセキュリティ研究者のCayden Liao氏は25万ドルの報奨金を受け取り、RippleXおよびXRP Ledger Foundationの開発者は、公式開示レポートで脆弱性を公表する前にネットワークを保護しました。

オーバーフローバグがXRPの固定供給を脅かしていた

脆弱性は台帳の決済エンジンに存在し、オーバーフローバグでした。これは、計算結果がデータフィールドの保持できる最大値を超え、意図しない結果を生み出す、一般的な種類のソフトウェア欠陥です。Liao氏によると、特別に細工されたトランザクションにより、固定供給を超える使用可能なXRPが生成され、ネットワークの金融的な完全性が脅かされる可能性があったといいます。

XRP Ledgerは2012年に1,000億XRPの上限と共に登場しました。他の多くの暗号資産と異なり、XRPはネットワーク上でマイニングやステーキングができず、各トランザクションで手数料として少量が永久に消滅します。この仕組みにより、流通するXRPの数は緩やかに減少していきます。今回明らかになった欠陥は、この供給制限を覆す可能性がありました。

Liao氏は、チームが1件のトランザクションで約18兆XRPを生成できる概念実証を開発したと述べました。これはネットワークの当初供給量の約184倍に相当します。XRPの時価総額は約940億ドルであり、攻撃が成功していれば、資産および市場全体への信頼が損なわれる可能性がありました。ただし開発者によると、公開ネットワーク上でこの欠陥を悪用した攻撃者は確認されていません。

緊急パッチと調整済み開示

脆弱性は2026年9月22日にXRPLバグ報奨金プログラムを通じて報告されました。開発者は9月25日にxrpldバージョン3.4.1でパッチをリリースし、開示内容によると、デフォルトバリデータの80%以上が当日中にソフトウェアをアップグレードしました。

注目すべきは、開発者が通常の2週間のバリデータによる amendment 投票を省略し、緊急プロセスを採用したことです。これにより、技術的詳細を公開することなく脅威に対処できました。この手法は、詳細が公開される前に修正を出荷・展開し、潜在的な攻撃者が情報を利用できる期間を縮めるという、ソフトウェア業界で一般的な調整済み開示の慣行を反映しています。ネットワークの保護後、10月9日に調整済みの公開開示が行われました。Liao氏はXへの投稿でこの発見と報奨金を公表しました。

この一件は、徹底的にレビューされたソフトウェアであっても重大な弱点を抱え得ることを示しました。問題のコードは2015年にさかのぼり、悪用は2つのバグの組み合わせに依存していました。個々には以前のレビューで脅威が小さくえた可能性のある弱点が、組み合わさることで深刻化するという、セキュリティ研究でよく知られたパターンです。Liao氏のチームはプログラムの上限である25万ドルの賞金を獲得し、研究者はこの発見を「 unusually significant security finding( unusually 重要なセキュリティ上の発見)」と評しました。ただし、主張された概念実証は攻撃の実証であり、実際の被害をもたらした悪用ではありませんでした。

悪用の痕跡は確認されず

過去数年間、XRP Ledgerは数多くの監査やセキュリティ試練の対象となっており、開示内容によると、ネットワークはこれまでに100万ドル以上のバグ報奨金を支払っています。こうしたプログラムは、研究者が攻撃者による悪用の余地を残すのではなく、責任を持って脆弱性を報告するよう促すものであり、現在ではブロックチェーン業界全体で一般的なインセンティブモデルとなっています。

この一件は、ブロックチェーンネットワークにおける迅速なソフトウェア更新の重要性を改めて示しています。バリデータはソフトウェアによって台帳の機能とセキュリティを維持するため極めて重要であり、重大な脆弱性が発覚した際の迅速なアップグレードはリスクへの露出を最小化できます。9月25日のパッチに対するデフォルトバリデータの80%以上の初日での適用は、その力学が機能したことを示しました。

潜在的な悪用の深刻さにかかわらず、不正なXRP発行の報告はなく、開発者も公開ネットワーク上のユーザーがこの欠陥により資金を失った証拠を確認していません。その結果、重大な理論上の脅威は、公開ネットワークでのインシデントなく解消されました。