XRP Ledger usunął krytyczną lukę bezpieczeństwa, która mogłaby pozwolić atakującemu na utworzenie nawet 18 bilionów XRP — kwoty znacznie przekraczającej stałą podaż sieci. Badacz bezpieczeństwa Cayden Liao, który odkrył dziesięcioletni błąd, otrzymał nagrodę w wysokości 250 000 dolarów, a deweloperzy z RippleX i XRP Ledger Foundation zabezpieczyli sieć przed publicznym ujawnieniem luki w oficjalnym raporcie o ujawnieniu luki.

Błąd przepełnienia zagrażał stałej podaży XRP

Luka znajdowała się w silniku płatności księgi i była błędem przepełnienia — powszechną klasą wad oprogramowania, w której obliczenie przekracza maksymalną wartość, jaką może pomieścić pole danych, prowadząc do niezamierzonych rezultatów. Według Liao specjalnie spreparowana transakcja mogłaby wygenerować wydawalne XRP ponad stałą podaż, zagrażając integralności finansowej sieci.

XRP Ledger wystartował w 2012 r. z limitem 100 miliardów XRP. W przeciwieństwie do wielu innych kryptowalut XRP nie może być wydobywany ani stakowany w sieci, a niewielkie ilości są trwale niszczone przy każdej transakcji w postaci opłat — mechanizm, który powoli zmniejsza liczbę XRP w obiegu. Niedawno ujawniona luka mogłaby obejść to ograniczenie podaży.

Liao powiedział, że jego zespół opracował proof of concept zdolny do wygenerowania około 18 bilionów XRP w ramach jednej transakcji, czyli około 184 razy więcej niż początkowa podaż sieci. Przy kapitalizacji rynkowej XRP wynoszącej około 94 miliardy dolarów udany atak mógłby naruszyć zaufanie do aktywa i szerszego rynku. Deweloperzy stwierdzili jednak, że nie znaleziono atakującego, który wykorzystałby lukę w sieciach publicznych.

Awaryjna poprawka i skoordynowane ujawnienie

Luka została zgłoszona przez program bug bounty XRPL 22 września 2026 r. Deweloperzy wydali poprawkę 25 września w wersji xrpld 3.4.1, a raport o ujawnieniu wskazuje, że ponad 80% domyślnych walidatorów zaktualizowało oprogramowanie tego samego dnia.

Co istotne, deweloperzy pominęli standardowe dwutygodniowe głosowanie walidatorów nad poprawką i zamiast tego zastosowali procedurę awaryjną, która pozwoliła im zaradzić zagrożeniu bez ujawniania szczegółów technicznych opinii publicznej. To podejście odzwierciedla prakkę skoordynowanego ujawnienia, powszechną w branży oprogramowania, w której poprawki są wdrażane przed upublicznieniem szczegółów, skracając okno czasowe, w którym potencjalni atakujący mogliby wykorzystać te informacje. Skoordynowane ujawnienie nastąpiło 9 października, po zabezpieczeniu sieci. Liao upublicznił odkrycie i nagrodę we wpisie na X.

Epizod ten pokazał również, że nawet dokładnie analizowane oprogramowanie może nadal zawierać poważne słabości. Wadliwy kod pochodził z 2015 r., a exploit opierał się na połączeniu dwóch błędów, które osobno mogły wydawać się mniej groźne we wcześniejszych przeglądach — to znany w badaniach bezpieczeństwa wzorzec, w którym wady wyglądające na drobne w izolacji mogą się potęgować w połączeniu. Zespół Liao otrzymał maksymalną nagrodę programu w wysokości 250 000 dolarów, a badacz określił odkrycie jako „niezwykle istotne ustalenie dotyczące bezpieczeństwa”. Ogłoszony proof of concept był jednak demonstracją ataku, a nie exploitem wyrządzającym rzeczywiste szkody.

Brak dowodów na wykorzystanie luki

W ciągu ostatnich kilku lat XRP Ledger był przedmiotem licznych audytów i testów bezpieczeństwa, a raport wskazuje, że sieć wypłaciła ponad 1 milion dolarów w nagrodach za zgłoszenie błędów. Takie programy zachęcają badaczy do odpowiedzialnego zgłaszania luk zamiast pozostawiania ich otwartych na wykorzystanie przez atakujących — model zachęt, który jest obecnie powszechny w branży blockchain.

Ten incydent przypomina o znaczeniu terminowych aktualizacji oprogramowania w sieciach blockchain. Walidatory są kluczowe, ponieważ ich oprogramowanie utrzymuje księgę funkcjonalną i bezpieczną, a szybkie aktualizacje w razie pojawienia się krytycznych luk mogą ograniczyć ryzyko. Wdrożenie poprawki z 25 września przez ponad 80% domyślnych walidatorów od pierwszego dnia pokazało tę dynamikę w działaniu.

Pomimo powagi potencjalnego exploita nie odnotowano żadnych przypadków nieautoryzowanego tworzenia XRP, a deweloperzy nie znaleźli dowodów na to, że użytkownicy sieci publicznych stracili środki z powodu tej luki. Duże zagrożenie teoretyczne zostało zatem usunięte bez żadnego incydentu w sieci publicznej.