De ontwikkelaars van de XRP Ledger hebben een kritieke overflow-bug openbaar gemaakt die een aanvaller in staat had kunnen stellen XRP uit het niets te creëren, voorbij de harde limiet van 100 miljard tokens van het netwerk. De fout zat in xrpld, de kernserversoftware van het ledger, in versies 3.4.0 en eerder. Deze werd in september stilletjes gepatcht en op 9 oktober 2026 openbaar gemaakt. Onderzoekers vonden geen bewijs dat de bug ooit is uitgebuit op een publiek netwerk.

Hoe de bug werkte

De kwetsbaarheid zat in de manier waarop xrpld betalingsbedragen optelde. Wanneer een enkele betaling liquiditeit trok uit meerdere biedingen op het gedecentraliseerde orderboek, gebruikte de software een 64-bits integer om een lopend totaal van de betrokken XRP bij te houden. Groeide dat totaal voorbij het grootste getal dat de integer kon bevatten, dan sloeg het terug naar een waarde die veel kleiner was dan de realiteit. Dit soort overflow-fouten is een klassieke categorie softwarefouten—berekeningen die het formaat van de variabele ontgroeien waarin het resultaat wordt opgeslagen—en het zijn de eerste gevaren waar beoordelaars naar zoeken in code die geld verplaatst.

Een aanvaller kon dat gat uitbuiten om XRP uit te geven die niet bestond. Omdat de opgeblazen saldi verspreid waren over veel accounts, slaagden de bestaande veiligidscontroles van het ledger er niet in de afwijking te signaleren—waardoor de boeken gebalanceerd leken terwijl het werkelijke aanbod stilletjes uit de hand liep.

De kosten van zo'n aanval waren opvallend laag. Volgens de openbaarmaking vereiste de exploit speciaal vervaardigde biedingen van honderden accounts, met kosten van slechts enkele honderden XRP aan reserves en vergoedingen, waarvan het merendeel terugvorderbaar zou zijn geweest. De hoeveelheid XRP die in één transactie had kunnen worden gemunt, zou het volledige totale aanbod van de token hebben kunnen overstijgen.

Een stille fix, daarna een openbaarmaking

De kwetsbaarheid werd op 22 september 2026 gemeld door onderzoeker Cayden Liao via het XRPL Bug Bounty-programma. RippleX, de ontwikkelaartak van Ripple, bevestigde het probleem en reproduceerde de aanval op een losse server, waarbij werd geverifieerd dat de overtollige XRP in vervolgtransacties kon worden uitgegeven.

Drie dagen na de melding, op 25 september 2026, kwam er een nooduitgave: xrpld 3.4.1. De fix slaagde ook het gebruikelijke amendmentproces van het ledger over, waarbij wijzigingen in de netwerkregels normaal pas na een stemprocedure onder validators ingaan. Deze patch werd in plaats daarvan onmiddellijk uitgerold.

De openbaarmaking volgde op 9 oktober, ongeveer twee weken nadat de gepatchte software was uitgebracht. Het team meldde geen verlies van fondsen, geen gecompromitteerde sleutels en geen consensusproblemen als gevolg van de bug. Die volgorde volgt het principe van gecoördineerde openbaarmaking van kwetsbaarheden, de standaardpraktijk in softwarebeveiliging waarbij fixes worden uitgebracht voordat details worden gepubliceerd, zodat operators een venster hebben om te upgraden voordat informatie die een aanval kan sturen openbaar wordt. Het XRPL Bug Bounty-programma dat tot de melding leidde maakt deel uit van hetzelfde mechanisme—een regeling die onafhankelijke onderzoekers betaalt om fouten privé aan te kaarten in plaats van deze zelf te misbruiken of openbaar te maken.

Tien jaar verborgen

Aangenomen wordt dat de fout sinds de bouw van de betalingsengine rond 2015 heeft bestaan—wat betekent dat de code jarenlang betalingen verwerkte met een latente overflow erin. Bugs die het native asset van een chain kunnen opblazen zijn zeldzaam, maar niet ongehoord: in 2018 brachten Bitcoin Core-ontikkelaars een noodpatch uit voor een fout die een aanvaller eveneens buiten de emissieregels van het netwerk om bitcoin had laten kunnen creëren.

Wat dit betekent voor XRP-houders en het ledger

Voor XRP-houders is de directe conclusie geruststellend: er is geen bewijs dat de bug ooit is uitgebuit, en de integriteit van de tokensvoorziening lijkt intact. De episode herinnert er ook aan dat een harde aanbodlimiet uiteindelijk door code wordt afgedwongen—en slechts zo betrouwbaar is als die code.

De beslissing om het amendmentproces over te slaan verdient echter aandacht. Een bekende route tot onbeperkte XRP-creatie kan niet wachten op een bestuursstemming, maar noodpatches die normale procedures overslaan leggen aanzienlijk vertrouwen bij het kernteam van ontwikkelaars. In dit geval hing de beveiliging van het netwerk af van validators en node-operators die snel zouden upgraden.

Node-operators die nog xrpld 3.4.0 of eerder draaien zijn de directe doelgroep van dit nieuws. De gepatchte versie, 3.4.1, is beschikbaar sinds 25 september, en iedereen die niet heeft geüpgradet draait software met een inmiddels publiek gedocumenteerde fout die de aanbodlimiet kan doorbreken.

Bron: CryptoBriefing