Dziesięcioletnia luka w silniku płatności XRP Ledger mogła teoretycznie pozwolić atakującym na stworzenie zdatnych do użycia XRP ponad stały limit podaży sieci wynoszący 100 miliardów tokenów — według Ripple. Firma podaje, że poprawka została wydana w xrpld 3.4.1 25 września — przed publicznym ujawnieniem — a śledczy nie znaleźli dowodów na to, że luka została wykorzystana w sieci publicznej lub że wydano nieautoryzowane XRP.

XRP Ledger to zdecentralizowany blockchain, którego natywny zasób, XRP, ma stałą podaż od momentu uruchomienia, co oznacza, że żadna transakcja nie może tworzyć dodatkowych tokenów. To właśnie czyniło tę lukę znaczącą: stanowiła potencjalny sposób obejścia najbardziej podstawowej reguły monetarnej ledgera.

Ujawnienie wzbudziło pytania i pewne nieporozumienia, którymi XRP Ledger Foundation zajął się bezpośrednio w poście na X:

The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let's clear them up.

1. Was any XRP created?

No. XRP's supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around…

— XRP Ledger Foundation (@XRPLF) October 11, 2026

To rozróżnienie ma znaczenie: błąd zagrażał regułom podaży ledgera, ale dostępne dowody nie pokazują, że limit XRP został faktycznie naruszony.

J. Ayo Akinyele, starszy dyrektor ds. inżynierii w RippleX, powiedział: „Błąd istniał w bazie kodu przez ponad dekadę i mógł pozwolić na stworzenie XRP ponad jego stałą podaż”.

Jak błąd płatności mógł zagrażać podaży XRP?

Luka znajdowała się w silniku płatności, komponencie obliczającym kwoty, gdy transakcja jest realizowana przez oferty na wbudowanej giełdzie XRP Ledger. W specjalnie skonstruowanych warunkach arytmetyka mogła się przepełnić: zamiast zwrócić rzeczywistą sumę należną z ofert, obliczenie mogło się zawinąć i wyprodukować znacznie mniejszą liczbę. Błędy przepełnienia to długo dokumentowana kategoria wad oprogramowania, występująca, gdy obliczenie przekracza największą wartość, jaką może przechować dany typ numeryczny.

Ta rozżność stwarzała potencjał, by sprzedający otrzymali więcej XRP, niż zapłacili kupujący. Limit podaży ledgera został ustalony, gdy wszystkie 100 miliardów XRP zostało stworzonych na początku; w przeciwieństwie do sieci proof-of-work walidatorzy nie wydobywają nowego XRP podczas przetwarzania transakcji. Luka, która mogła uczynić dodatkowe XRP zdatnymi do użycia, uderzała zatem w podstawową regułę monetarną, a nie w pojedyncze konto.

RippleX podał, że programiści przetestowali poprawkę i skoordynowali aktualizacje z operatorami sieci przed publicznym ujawnieniem problemu. Wydanie poprawki przed ogłoszeniem jest zgodne ze standardową praktyką skoordynowanego ujawniania, która daje operatorom czas na aktualizację, zanim szczegóły luki staną się powszechnie znane. Poprawka została uwzględniona w xrpld 3.4.1, oprogramowaniu serwerowym przetwarzającym transakcje i prowadzącym zapisy ledgera. Raport o ujawnieniu luki XRP Ledger Foundation szczegółowo opisuje przepełnienie w silniku płatności i jego usunięcie.

To szybkie wdrożenie oprogramowania różni się od procesu poprawek (amendment) ledgera, którego walidatorzy używają do aktywacji zmian zasad protokołu. Wcześniejsze aktywacje poprawek XRPL pokazały, jak wsparcie walidatorów może decydować o tym, kiedy zmiana protokołu wchodzi w życie; poprawka luki podaży weszła w życie po prostu wraz z aktualizacją serwerów do załatanej wersji.

Co oznacza to zdarzenie dla posiadaczy XRP?

Akinyele przedstawił odpowiedź RippleX w poście na X 10 października:

Security remains our top priority for preserving trust in the XRP Ledger (XRPL). Sharing a few thoughts following yesterday's disclosure of the critical payments engine vulnerability reported by Veria AI.

First, this was a serious vulnerability, and we don't take that lightly.…

— J. Ayo Akinyele (@ja_akinyele) October 10, 2026

Udokumentowanym ryzykiem było możliwe stworzenie nieautoryzowanych, zdatnych do użycia XRP — a nie potwierdzona utrata środków użytkowników. Śledczy nie znaleźli dowodów na wykorzystanie luki w sieci publicznej, a pierwotne ujawnienie nie potwierdza utraty jakichkolwiek środków. Prawidłowa interpretacja to poważna luka, która została załatana, a nie potwierdzone naruszenie podaży.

Wiek błędu pozostaje istotny. Wada w kluczowej ścieżce płatności utrzymywała się w bazie kodu przez ponad dekadę, podczas gdy zabezpieczenie mające chronić przed tworzeniem XRP nie wykryło tego samego problemu arytmetycznego. W terminologii handlowej luka ujawniła ślepy punkt w regule, która powinna działać jak bezpiecznik.

Incydenty bezpieczeństwa związane z XRP mogą dotyczyć również bardzo różnych systemów. Na przykład przejęcie portfela lub usługi to nie to samo, co wada w zasadach transakcji ledgera, co pokazuje odrębny przypadek hackingu związanego z XRP w opiece zdrowotnej.

Lukę zgłosiła firma Veria AI, która pomogła ją odkryć w ramach programu bug bounty XRPL, po ujawnieniu w piątek 9 października. Programy bug bounty to powszechny mechanizm w branży blockchain pozyskiwania przeglądów bezpieczeństwa od zewnętrznych badaczy, którzy zgłaszają błędy prywatnie, aby poprawki mogły zostać wydane jako pierwsze. Akinyele dodał: „AI fundamentalnie zmienia szybkość, z jaką można odkrywać luki”.

Ponaż poprawka dotarła do sieci poprzez wydanie oprogramowania, a nie zmianę protokołu, praktyczne wskaźniki na przyszłość mają charakter operacyjny: operatorzy serwerów przyjmujący załataną wersję xrpld 3.4.1 oraz ewentualne dalsze szczegóły techniczne w raporcie ujawnieniowym Fundacji.

Źródło: 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure