De XRP Ledger heeft een kritiek beveiligingsprobleem verholpen dat een aanvaller in staat had kunnen stellen om maar liefst 18 biljoen XRP te creëren — een bedrag ver buiten de vaste voorraad van het netwerk. Beveiligingsonderzoeker Cayden Liao, die de tien jaar oude bug ontdekte, ontving een beloning van $250.000, en ontwikkelaars bij RippleX en de XRP Ledger Foundation beveiligden het netwerk voordat ze het probleem publiek maakten in een officieel disclosure-rapport.

Overflow-bug bedreigde de vaste voorraad van XRP

De kwetsbaarheid zat in de betalingsengine van de ledger en was een overflow-bug — een veelvoorkomende klasse van softwarefouten waarbij een berekening de maximale waarde overschrijdt die het databestand kan bevatten, met onbedoelde resultaten als gevolg. Volgens Liao had een speciaal vervaardigde transactie besteedbare XRP buiten de vaste voorraad om kunnen genereren, wat de financiële integriteit van het netwerk in gevaar bracht.

De XRP Ledger werd in 2012 gelanceerd met een limiet van 100 miljard XRP. In tegenstelling tot veel andere cryptocurrencies kan XRP niet worden gemined of gestaked op het netwerk, en bij elke transactie worden kleine hoeveelheden permanent vernietigd als transactiekosten — een dynamiek die het aantal XRP in omloop langzaam vermindert. De onthulde zwakte had deze voorraadbeperking kunnen omzeilen.

Liao zei dat zijn team een proof of concept ontwikkelde die in staat was om ongeveer 18 biljoen XRP te genereren met een enkele transactie, ruwweg 184 keer de oorspronkelijke voorraad van het netwerk. Met een marktkapitalisatie van XRP van ongeveer $94 miljard had een geslaagde exploit het vertrouwen in het asset en de bredere markt kunnen schaden. Ontwikkelaars zeiden echter dat geen enkele aanvaller de zwakte op publieke netwerken heeft uitgebuit.

Noodpatch en gecoördineerde openbaarmaking

De kwetsbaarheid werd op 22 september 2026 gemeld via het XRPL bug bounty-programma. Ontwikkelaars brachten op 25 september een patch uit in xrpld versie 3.4.1, en de openbaarmaking vermeldt dat meer dan 80% van de standaardvalidators diezelfde dag hun software upgradede.

Opmerkelijk is dat de ontwikkelaars de standaard tweewekelijkse amendementstemming onder validators oversloegen en in plaats daarvan een noodprocedure volgden, waardoor ze de dreiging konden aanpakken zonder technische details publiek te maken. De aanpak weerspiegelt de praktijk van gecoöineerde openbaarmaking die gebruikelijk is in de software-industrie, waarbij fixes worden uitgerold en geïmplementeerd voordat details openbaar worden, waardoor het venster waarin potentiële aanvallers de informatie konden misbruiken kleiner wordt. De gecoördineerde openbaarmaking volgde op 9 oktober, nadat het netwerk was beveiligd. Liao maakte de vondst en de beloning bekend in een post op X.

Het incident toonde ook aan dat zelfs uitgebreid beoordeelde software nog steeds ernstige zwaktes kan bevatten. De foutieve code dateerde uit 2015, en de exploit was gebaseerd op een combinatie van twee bugs die afzonderlijk mogelijk minder bedreigend leken in eerdere beoordelingen — een patroon dat bekend is in beveiligingsonderzoek, waar gebreken die op zichzelf onschuldig lijken in combinatie kunnen escaleren. Het team van Liao won de maximale prijs van $250.000 uit het programma, waarbij de onderzoeker de ontdekking een "ongewoon significante beveiligingsvondst" noemde. De beweerde proof of concept was echter een aanvalsdemonstratie en geen exploit die daadwerkelijke schade aanrichtte.

Geen bewijs van misbruik

De afgelopen jaren is de XRP Ledger onderworpen aan talloze audits en beveiligingstests, en de openbaarmaking vermeldt dat het netwerk meer dan $1 miljoen aan bug bounties heeft uitgekeerd. Dergelijke programma's moedigen onderzoekers aan om kwetsbaarheden verantwoord te melden in plaats van ze open te laten voor misbruik door aanvallers — een incentiveremodel dat inmiddels gebruikelijk is in de blockchain-industrie.

Het incident herinnert aan het belang van tijdige software-updates op blockchain-netwerken. Validators zijn cruciaal omdat hun software de ledger functioneel en veilig houdt, en snelle upgrades wanneer kritieke kwetsbaarheden aan het licht komen kunnen de blootstelling minimaliseren. De dag-één-adoptie van de patch van 25 september door meer dan 80% van de standaardvalidators liet die dynamiek in actie zien.

Ondanks de ernst van de potentiële exploit waren er geen meldingen van ongeautoriseerde creatie van XRP, en ontwikkelaars vonden geen bewijs dat gebruikers op publieke netwerken geld verloren door de zwakte. Een grote theoretische dreiging werd daarmee geëlimineerd zonder enig incident op het publieke netwerk.