Een tiendoud oude fout in de betalingsengine van de XRP Ledger had aanvallers in theorie in staat kunnen stellen om besteedbare XRP te creëren boven de vaste toeleveringslimiet van het netwerk van 100 miljard tokens, aldus Ripple. Het bedrijf zegt dat de fix op 25 september werd uitgerold in xrpld 3.4.1 — vóór de publieke openbaarmaking — en onderzoekers vonden geen bewijs dat de kwetsbaarheid op een publiek netwerk werd misbruikt of dat er ongeautoriseerde XRP werd uitgegeven.

De XRP Ledger is een gedecentraliseerde blockchain waarvan het oorspronkelijke activum, XRP, sinds de lancering een vaste toelevering heeft, wat betekent dat geen enkele transactie extra tokens mag creëren. Precies daardoor was de fout opmerkelijk: hij vormde een potentiële omzeiling van de meest fundamentele monetaire regel van de ledger.

De openbaarmaking riep vragen en enkele misvattingen op, waar de XRP Ledger Foundation direct op reageerde in een bericht op X:

De recente beveiligingsfix van de XRP Ledger riep veel vragen en enkele misvattingen op. Laten we die wegnemen.

1. Is er XRP gecreëerd?

Nee. De toelevering van XRP was vastgesteld op 100 miljard bij de lancering van de XRP Ledger, en geen enkele transactie mag meer creëren. Deze bug was een omweg…

— XRP Ledger Foundation (@XRPLF) 11 oktober 2026

Dat onderscheid is belangrijk: de bug bedreigde de toeleveringsregels van de ledger, maar de beschikbare gegevens tonen niet aan dat de limiet van XRP daadwerkelijk is geschonden.

J. Ayo Akinyele, senior director of engineering bij RippleX, zei: "De bug bestond al meer dan tien jaar in de codebase en had het creëren van XRP boven de vaste toelevering mogelijk kunnen maken."

Hoe kon een betalingsbug de XRP-toelevering bedreigen?

De fout zat in de betalingsengine, het onderdeel dat bedragen berekent wanneer een transactie handelt via biedingen op de ingebouwde beurs van de XRP Ledger. Onder speciaal geconstrueerde omstandigheden kon de rekenkunde overlopen: in plaats van het werkelijke totale verschuldigde bedrag over de biedingen terug te geven, kon de berekening omslaan een veel kleiner getal opleveren. Overloopbugs zijn een al lang gedocumenteerde categorie softwarefouten die optreden wanneer een berekening de grootste waarde overschrijdt die het numerieke type kan opslaan.

Die mismatch creëerde de mogelijkheid dat verkopers meer XRP ontvingen dan de koper betaald had. De toeleveringslimiet van de ledger was vastgesteld toen alle 100 miljard XRP bij de oprichting werden gecreëerd; in tegenstelling tot proof-of-work-netwerken mijnen validators geen nieuwe XRP tijdens het verwerken van transacties. Een fout die extra XRP besteedbaar had kunnen maken, raakte daarom een fundamentele monetaire regel en niet slechts één account.

RippleX zei dat ontwikkelaars de patch testten en upgrades afstemden met netwerkexploitanten voordat het probleem publiek werd gemaakt. Het uitbrengen van de fix vóór de aankondiging volgt de standaardpraktijk van gecoördineerde openbaarmaking, die exploitanten tijd geeft om te upgraden voordat details over de kwetsbaarheid breed bekend worden. De fix werd opgenomen in xrpld 3.4.1, de serversoftware die transacties verwerkt en ledgerregistraties bijhoudt. Het kwetsbaarheidsrapport van de XRP Ledger Foundation beschrijft de overloop in de betalingsengine en de remedie.

Die snelle software-uitrol is te onderscheiden van het amendmentproces van de ledger, dat validators gebruiken om wijzigingen in protocolregels te activeren. Eerdere XRPL-amendmentactiveringen hebben laten zien hoe steun van validators kan bepalen wanneer een protocolwijziging van kracht wordt; de fix voor de toeleveringsfout werd daarentegen van kracht zodra servers naar de gepatchte release upgradeden.

Wat betekent dit incident voor XRP-houders?

Akinyele schetste de reactie van RippleX in een bericht op X op 10 oktober:

Security blijft onze topprioriteit voor het behoud van vertrouwen in de XRP Ledger (XRPL). Ik deel enkele gedachten na de openbaarmaking gisteren van de kritieke kwetsbaarheid in de betalingsengine, gemeld door Veria AI.

Ten eerste: dit was een ernstige kwetsbaarheid, en dat nemen we niet licht op.…

— J. Ayo Akinyele (@ja_akinyele) 10 oktober 2026

Het gedocumenteerde risico was de mogelijke creatie van ongeautoriseerde, besteedbare XRP — niet een bevestigd verlies van gebruikersfondsen. Onderzoekers vonden geen bewijs van misbruik op publieke netwerken, en de oorspronkelijke openbaarmaking stelt niet vast dat er fondsen zijn verloren. De juiste lezing is een ernstige kwetsbaarheid die is gepatcht, geen bevestigde schending van de toelevering.

De leeftijd van de bug blijft significant. Een defect in een kernbetalingstraject bleef meer dan tien jaar in de codebase aanwezig, terwijl een veiligheidscontrole die bedoeld was om het creëren van XRP tegen te gaan, hetzelfde rekenkundige probleem niet opving. In handelstermen legde de kwetsbaarheid een blinde vlek bloot in een regel die als een zekering had moeten fungeren.

Met XRP samenhangende beveiligingsincidenten kunnen ook zeer verschillende systemen betreffen. Een compromittering van een wallet of dienst is bijvoorbeeld niet hetzelfde als een fout in de transactieregels van de ledger zoals blijkt uit het afzonderlijke geval van een hack in de gezondheidszorg met betrekking tot XRP.

De kwetsbaarheid werd gemeld door Veria AI, dat via het XRPL bug bounty-programma hielp het probleem bloot te leggen, na de openbaarmaking op vrijdag 9 oktober. Bug bounty-programma's zijn een gangbaar mechanisme in de blockchainsector om beveiligingsbeoordeling van externe onderzoekers in te winnen, die fouten privé melden zodat fixes eerst kunnen worden uitgerold. Akinyele voegde eraan toe: "AI verandert fundamenteel hoe snel kwetsbaarheden kunnen worden ontdekt."

Omdat de fix het netwerk bereikte via een softwarerelease in plaats van een protocolwijziging, zijn de praktische ijkpunten vanaf nu operationeel van aard: serverexploitanten die de gepatchte release xrpld 3.4.1 adopteren, en eventuele verdere technische details in het openbaarmakingsrapport van de Foundation.

Bron: 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure