Luka bezpieczeństwa sięgająca 2015 roku w XRP Ledger mogła pozwolić atakującym na utworzenie dużych ilości XRP bez ponoszenia kosztów, potencjalnie łamiąc sztywny limit podaży sieci wynoszący 100 miliardów tokenów.

Badacz Cayden Liao, współpracujący z Veria AI, odkrył podatność i prywatnie zgłosił ją zespołowi deweloperów Ripple 22 września 2026 roku. Inżynierowie RippleX odtworzyli atak na prywatnym serwerze testowym i potwierdzili, że atakujący mógł wygenerować nowe XRP, a następnie wydawać je jak zwykłe tokeny.

Ripple poinformował, że nie znalazł dowodów na to, aby metoda ta była kiedykolwiek wykorzystywana w sieci publicznej. Deweloperzy rozwiązali problem w aktualizacji oprogramowania xrpld 3.4.1 wydanej 25 września, choć aktualizacja nie ujawniała wów publicznie podatności. Cicha poprawka odpowiada standardowemu schematowi odpowiedzialnego ujawniania luk, w którym badacze zgłaszają błędy prywatnie, aby utrzymujący mogli wydać poprawkę, zanim szczegóły techniczne staną się publiczne. Jak to zwykle w przypadku oprogramowania ledgera, naprawa w pełni wchodzi w życie w miarę, jak walidatorzy i operatorzy węzłów aktualizują oprogramowanie do załatanej wersji.

Ujawnienie nastąpiło po publikacji Coin Bureau na X:

⚡️GOOD NEWS: XRP Ledger patches a DECADE-OLD security flaw that could have created BILLIONS of dollars worth of XRP out of thin air. The bug, dating back to 2015, could have allowed attackers to generate and spend $XRP without funding it, potentially breaking the token's fixed… pic.twitter.com/06X2rrPRHE — Coin Bureau (@coinbureau) October 10, 2026

Jak działała podatność

Wszystkie 100 miliardów XRP zostało utworzonych przy uruchomieniu ledgera w 2012 roku, a oprogramowanie zaprojektowano tak, aby nie można było emitować dodatkowych monet. Podatność dotyczyła wbudowanego systemu wymiany XRP Ledger, w którym użytkownicy składają oferty wymiany jednego tokena na inny.

Atakujący mógł otworzyć setki małych kont. Każde konto mogło następnie zaoferować niewielką ilość jednego tokena w zamian za bardzo dużą ilość XRP. Wysyłając jedną płatność, która realizowała wszystkie oferty jednocześnie, atakujący mógł sprawić, że łączna kwota należnego XRP przekroczyłaby to, co system potrafił poprawnie obliczyć.

W takich warunkach konta sprzedające tokeny otrzymywały pełną zapłatę, podczas gdy konto dokonujące zakupu było obciążane niemal niczym. Efektem byłoby pojawienie się nowo utworzonych XRP bez odpowiadającego kosztu po stronie atakującego.

Wbudowany mechanizm zabezpieczający, którego zadaniem było wykrywanie tworzenia nowych XRP, zawodził, ponieważ opierał się na tym samym obliczeniu. Oddzielny limit dotyczący ilości XRP, jaką może otrzymać jedno konto, również nie zapobiegał eksploitowi, ponieważ atakujący mógł rozdzielić tokeny między wiele kont.

Przeprowadzenie ataku wymagałoby jedynie niewielkiej ilości X na utworzenie kont oraz standardowych opłat transakcyjnych — koszt na tyle niski, że wykonalność eksploitu zależała od samej wady oprogramowania, a nie od znacznego kapitału.

Aktualizacja oprogramowania XRPL i funkcja Batch

Podatność była jedną z kilku starszych luk w kryptowalutach wykrytych w tym roku przy pomocy narzędzi AI, po podobnych odkryciach dotyczących portfela Coldcard i oprogramowania Core Lightning. W każdym z tych przypadków wady pozostawały niewykryte w powszechnie używanych systemach przez lata, zanim przegląd wspomagany AI wydobył je na światło dzienne.

Niezależnie od tego XRP Ledger aktywował na swojej sieci głównej funkcję o nazwie Batch. Batch pozwala użytkownikom łączyć od dwóch do ośmiu transakcji w jedną operację. Zmianę zatwierdziło trzydziestu z trzydziestu pięciu walidatorów sieci, co spełniało wymaganą dwutygodniową superwiększość potrzebną do aktywacji.

Funkcja oferuje cztery ustawienia. Jedno z nich wymaga, aby każda transakcja w partii zakończyła się sukcesem; jeśli którakolwiek z dołączonych transakcji zawiedzie, cała grupa zawodzi. Ten tryb „wszystko albo nic” ma na celu rozwiązać typowy problem w transakcjach wieloetapowych, gdzie wykonanie jednej części bez drugiej może pozostawić tradera z niezamierzoną pozycją. Zwolennicy twierdzą, że Batch może być przydatny w handlu, rozliczeniach i wymianach tokenów niezamiennych (NFT), które wymagają jednoczesnego wykonania wielu kroków. Dokumentacja funkcji Batch XRP Ledger jest dostępna pod adresem

W powiązanym wydarzeniu firma powiązana z XRP, Evernorth, przygotowuje się do notowań na giełdzie Nasdaq pod tickerem XRPN. Firma poinformowała, że data debiutu została przeniesiona z 8 października na 12 października z powodu opóźnienia administracyjnego. Dla czytelników śledzą spółki publiczne powiązane z XRP przesunięty debiut oraz wielkość planowanych posiadanych aktywów firmy to bieżące kwestie warte obserwacji.

Zgodnie z dokumentami złożonymi do amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC), Evernorth oczekuje, że po zakończeniu notowań będzie posiadał około 473 milionów XRP.

Oryginalny raport: https://coincentral.com/xrp-ledger-fixes-old-bug-that-could-have-created-billions-in-fake-tokens/