Een beveiligingsfout in de XRP Ledger die teruggaat tot 2015 had aanvallers in staat kunnen stellen grote hoeveelheden XRP te creëren zonder ervoor te betalen, waarmee de vaste voorraad van 100 miljard tokens van het netwerk mogelijk was doorbroken.

Onderzoeker Cayden Liao, werkzaam met Veria AI, ontdekte het beveiligingsprobleem en meldde het op 22 september 2026 privé aan het ontwikkelaarsteam van Ripple. RippleX-engineers reconstrueerden de aanval op een privétestserver en bevestigden dat een aanval новые XRP had kunnen genereren en daarna had kunnen uitgeven alsof het legitieme tokens waren.

Ripple verklaarde geen bewijs te hebben gevonden dat de methode ooit op het publieke netwerk was gebruikt. Ontwikkelaars losten het probleem op in de softwareupdate xrpld 3.4.1 die op 25 september werd uitgebracht, alhoewel de update destijds niet publiekelijk uitlegde welke kwetsbaarheid werd verholpen. De stille patch volgt het gebruikelijke patroon van verantwoorde openbaarmaking, waarbij onderzoekers fouten privé melden zodat beheerders een oplossing kunnen uitbrengen voordat technische details openbaar worden. Zoals bij ledger-software gebruikelijk, krijgt de reparatie volledige werking zodra validators en node-operatoren naar de gepatchte versie upgraden.

De openbaarmaking volgde op een bericht van Coin Bureau op X:

⚡️GOOD NEWS: XRP Ledger patches a DECADE-OLD security flaw that could have created BILLIONS of dollars worth of XRP out of thin air. The bug, dating back to 2015, could have allowed attackers to generate and spend $XRP without funding it, potentially breaking the token's fixed… pic.twitter.com/06X2rrPRHE — Coin Bureau (@coinbureau) October 10, 2026

Hoe de kwetsbaarheid werkte

Alle 100 miljard XRP werden gecreëerd toen de ledger in 2012 lanceerde, en de software was ontworpen om het uitgeven van extra munten te voorkomen. De kwetsbaar zat in het ingebouwde exchangesysteem van de XRP Ledger, waar gebruikers biedingen plaatsen om het ene token tegen het andere te verhandelen.

Een aanvaller had honderden kleine accounts kunnen openen. Elk account kon vervolgens een kleine hoeveelheid van een token aanbieden in ruil voor een zeer grote hoeveelheid XRP. Door één betaling te versturen die alle biedingen tegelijk invulde, kon de aanvaller ervoor zorgen dat het totale verschuldigde bedrag aan XRP groter was dan wat het systeem correct kon berekenen.

Onder die omstandigheden zouden de accounts die de tokens verkochten volledig worden uitbetaald, terwijl het account dat de aankoop deed vrijwel niets in rekening werd gebracht. Het gevolg zou nieuw gecreëerde XRP zijn zonder bijbehorende kosten voor de aanvaller.

Een ingebouwde beveiliging die bedoeld was om het creëren van nieuwe XRP te detecteren, faalde omdat deze op dezelfde berekening leunde. Een aparte limiet op de hoeveelheid XRP die één account kon ontvangen weerhield de aanval evenmin, omdat de aanvaller de tokens over meerdere accounts kon verdelen.

Het uitvoeren van de aanval had slechts een kleine hoeveelheid XRP vereist om de accounts aan te maken, plus de standaard transactiekosten — een kostenpost laag genoeg dat de haalbaarheid van de aanval afhing van de softwarefout zelf en niet van aanzienlijk kapitaal.

XRPL-softwareupdate en Batch-functie

De kwetsbaarheid was een van meerdere oudere cryptocurrency-bugs die dit jaar werden ontdekt met behulp van AI-tools, na vergelijkbare vondsten in de Coldcard-portemonnee en de Core Lightning-software. In elk geval waren de fouten jarenlang onopgemerkt gebleven in veelgebruikte systemen voordat AI-ondersteunde analyse ze aan het licht bracht.

Daarnaast heeft de XRP Ledger een functie genaamd Batch op zijn hoofdnetwerk geactiveerd. Batch stelt gebruikers in staat om tussen twee en acht transacties te combineren tot één actie. Dertig van de 35 validators van het netwerk keurden de wijziging goed, waarmee de vereiste supermeerderheid van twee weken voor activering werd gehaald.

De functie bevat vier instellingen. Eén instelling vereist dat elke transactie in een batch slaagt; als een van de transacties faalt, faalt de hele groep. Die alles-of-niets-modus is gericht op een veelvoorkomend probleem bij transacties in meerdere stappen, waarbij het uitvoeren van één been zonder het andere een handelaar met een onverwachte positie kan achterlaten. Voorstanders zeggen dat Batch nuttig kan zijn voor trades, afwikkelingen en non-fungible token-swaps die vereisen dat meerdere stappen tegelijk plaatsvinden. De Batch-documentatie van de XRP Ledger is beschikbaar op

In een gerelateerde ontwikkeling bereidt het aan XRP gelinkte bedrijf Evernorth een notering op de Nasdaq-beurs voor onder het ticker-symbool XRPN. Het bedrijf meldde dat de noteringsdatum vanwege een administratieve vertraging van 8 oktober naar 12 oktober is verplaatst. Voor lezers die aan XRP gelinkte beursgenoteerde bedrijven volgen, zijn het verplaatste debuut en de omvang van de geplande holdings de aandachtspunten voor de nabije termijn.

Volgens indieningen bij de Securities and Exchange Commission verwacht Evernorth na afronding van de notering ongeveer 473 miljoen XRP aan te houden.

Oorspronkelijk bericht: https://coincentral.com/xrp-ledger-fixes-old-bug-that-could-have-created-billions-in-fake-tokens/