Десятилетняя уязвимость в платёжном движке XRP Ledger теоретически позволяла злоумышленникам создавать расходуемые XRP сверх фиксированного лимита предложения сети в 100 млрд токенов, сообщает Ripple. По данным компании, исправление вошло в xrpld 3.4.1, выпущенный 25 сентября — до публичного раскрытия информации, — а расследование не выявило признаков того, что уязвимость эксплуатировалась в публичной сети или что была выпущена несанкционированная эмиссия XRP.

XRP Ledger — это децентрализованный блокчейн, собственный актив которого, XRP, имеет фиксированный объём предложения с момента запуска: ни одна транзакция не может создавать дополнительные токены. Именно это делало уязвимость столь значимой: она представляла собой потенциальный обход фундаментального денежного правила леджера.

Раскрытие информации вызвало вопросы и некоторые заблуждения, которые напрямую разъяснил XRP Ledger Foundation в посте на X:

Недавнее исправление безопасности в XRP Ledger вызвало много вопросов и некоторые заблуждения. Давайте их проясним.

1. Был ли создан какой-либо XRP?

Нет. Предложение XRP было зафиксировано на уровне 100 млрд при запуске XRP Ledger, и ни одна транзакция не может создать больше. Эта ошибка была путём обхода…

— XRP Ledger Foundation (@XRPLF) 11 октября 2026 г.

Это различие важно: ошибка угрожала правилам предложения леджера, однако имеющиеся данные не показывают, что лимит XRP был фактически нарушен.

Дж. Айо Акиниеle (J. Ayo Akinyele), старший директор по инженерии RippleX, заявил: «Эта ошибка существовала в кодовой базе более десяти лет и могла позволить создать XRP сверх его фиксированного предложения».

Как ошибка в платежах могла угрожать предложению XRP?

Уязвимость находилась в платёжном движке — компоненте, который рассчитывает суммы, когда транзакция проходит через ордера на встроенной бирже XRP Ledger. При специально сконструированных условиях возможно арифметическое переполнение: вместо возврата истинной суммы, причитающейся по всем ордерам, вычисление могло «зациклиться» и выдать гораздо меньшее число. Ошибки переполнения — давно задокументированная категория программных дефектов, возникающих, когда результат вычисления превышает максимальное значение, которое может хранить числовой тип.

Это расхождение создавало потенциальную возможность для продавцов получать больше XRP, чем заплатил покупатель. Лимит предложения леджера был установлен при создании всех 100 млрд XRP на этапе запуска; в отличие от сетей с доказательством работы, валидаторы не майнят новые XRP при обработке транзакций. Поэтому ошибка, способная сделать дополнительные XRP расходуемыми, затрагив базовое денежное правило, а не отдельный аккаунт.

RippleX сообщила, что разработчики протестировали исправление и согласовали обновления с операторами сети до публичного раскрытия информации. Выпуск исправления до объявления соответствует стандартной практике согласованного раскрытия, которая даёт операторам время обновиться до того, как детали уязвимости станут широко известны. Исправление вошло в xrpld 3.4.1 — серверное ПО, обрабатывающее транзакции и ведущее учётные записи леджера. Отчёт XRP Ledger Foundation о раскрытии уязвимости подробно описывает переполнение в платёжном движке и его устранение.

Столь быстрый выпуск обновления отличается от процесса внесения поправок в леджер, который валидаторы используют для активации изменений правил протокола. Предыдущие активации поправок XRPL показали, как поддержка валидаторов может определять момент вступления изменений протокола в силу; в данном случае исправление ошибки предложения вступило в силу просто за счёт обновления серверов до патченной версии.

Что этот инцидент означает для держателей XRP?

Акиниеle описал реакцию RippleX в посте на X 10 октября:

Безопасность остаётся нашим главным приоритетом для сохранения доверия к XRP Ledger (XRPL). Делимся несколькими мыслями после вчерашнего раскрытия критической уязвимости платёжного движка, о которой сообщила Veria AI.

Во-первых, это была серьёзная уязвимость, и мы не относимся к этому легкомысленно.…

— J. Ayo Akinyele (@ja_akinyele) 10 октября 2026 г.

Задокументированный риск заключался в возможном создании несанкционированных, расходуемых XRP — а не в подтверждённой потере пользовательских средств. Расследование не выявило признаков эксплуатации в публичной сети, и первичное раскрытие не подтверждает утраты средств. Корректная трактовка: серьёзная уязвимость, которая была исправлена, — а не подтверждённое нарушение лимита предложения.

Возраст ошибки также остаётся значимым. Дефект в основном платёжном пути сохранялся в кодовой базе более десяти лет, при этом защитная проверка, предназначенная для предотвращения создания XRP, не смогла обнаружить ту же арифметическую проблему. На языке трейдинга уязвимость выявила слепое пятно в правиле, которое должно было действовать как автоматический предохранитель.

Инциденты безопасности, связанные с XRP, могут затрагивать совершенно разные системы: компрометация кошелька или сервиса, например, — это не то же самое, что ошибка в правилах транзакций леджера, что наглядно показывает отдельный случай взлома в сфере здравоохранения, связанного с XRP.

Об уязвимости сообщила Veria AI, которая помогла выявить проблему через программу багбаунти XRPL, после раскрытия в пятницу, 9 октября. Программы багбаунти — распространённый в блокчейн-индустрии механизм привлечения внешних исследователей к проверке безопасности: они сообщают об ошибках приватно, чтобы исправления успели выйти первыми. Акиниеle добавил: «ИИ фундаментально меняет то, насколько быстро могут обнаруживаться уязвимости».

Поскольку исправление дошло до сети через выпуск программного обеспечения, а не через поправку к протоколу, дальнейшие практические ориентиры носят операционный характер: переход операторов серверов на патченную версию xrpld 3.4.1 и возможные дополнительные технические подробности в отчёте Foundation о раскрытии.

Источник: 99Bitcoins — Десятилетняя уязвимость XRP Ledger от Ripple была исправлена до раскрытия информации