XRP Ledger устранил критическую уязвимость, которая позволяла бы злоумышленнику создать до 18 триллионов XRP — сумму, многократно превышающую фиксированный объём эмиссии сети. Исследователь безопасности Кейден Лио, обнаруживший десятилетнюю ошибку, получил награду в 250 000 долларов, а разработчики RippleX и XRP Ledger Foundation обеспечили безопасность сети, прежде чем публично раскрыть информацию об уязвимости в официальном отчёте о раскрытии.

Ошибка переполнения угрожала фиксированной эмиссии XRP

Уязвимость находилась в платёжном движке реестра и представляла собой ошибку переполнения — распространённый класс программных дефектов, при котором вычисление превышает максимальное значение, которое может вместить поле данных, что приводит к непредвиденным результатам. По словам Лио, специально созданная транзакция могла бы породить расходуемые XRP сверх фиксированного объёма эмиссии, поставив под угрозу финансовую целостность сети.

XRP Ledger был запущен в 2012 году с лимитом в 100 миллиардов XRP. В отличие от многих других криптовалют, XRP нельзя майнить или стейкать в сети, а небольшие суммы безвозвратно уничтожаются с каждой транзакцией в виде комиссий — механизм, который постепенно сокращает количество XRP в обращении. Недавно выявленная уязвимость могла бы обойти это ограничение эмиссии.

Лио сообщил, что его команда разработала доказательство концепции, способное сгенерировать примерно 18 триллионов XRP одной транзакцией — примерно в 184 раза больше первоначального объёма эмиссии сети. С учётом рыночной капитализации XRP около 94 миллиардов долларов успешная атака могла бы подорвать доверие к активу и рынку в целом. Однако, по словам разработчиков, не обнаружено, чтобы злоумышленник эксплуатировал эту уязвимость в публичных сетях.

Экстренное исправление и согласованное раскрытие

Уязвимость была передана через программу XRPL bug bounty 22 сентября 2026 года. Разработчики выпустили исправление 25 сентября в xrpld версии 3.4.1, и, согласно раскрытию, более 80% валидаторов по умолчанию обновили своё программное обеспечение в тот же день.

Примечательно, что разработчики пропустили стандартное двухнедельное голосование валидаторов по поправке и вместо этого задействовали экстренную процедуру, что позволило им устранить угрозу, не раскрывая технических деталей общественности. Такой подход отражает практику согласованного раскрытия, распространённую в индустрии ПО, при которой исправления выпускаются и разворачиваются до публикации деталей, сокращая окно, в котором потенциальные злоумышленники могли бы воспользоваться информацией. Согласованное публичное раскрытие состоялось 9 октября, после обеспечения безопасности сети. Лио рассказал о находке и награде в посте в X.

Этот инцидент также показал, что даже тщательно проверенное программное обеспечение может содержать серьёзные недостатки. Дефектный код датируется 2015 годом, а атака основывалась на сочетании двух ошибок, которые по отдельности могли казаться менее угрожающими при предыдущих проверках — закономерность, знаком в исследованиях безопасности, когда недостатки, выглядящие незначительными по отдельности, усиливаются в сочетании. Команда Лио получила максимальную награду программы в 250 000 долларов, а сам исследователь назвал находку «необычно значимым открытием в области безопасности». Заявленное доказательство концепции, однако, было демонстрацией атаки, а не эксплойтом, нанёсшим реальный ущерб.

Нет свидетельств эксплуатации

За последние несколько лет XRP Ledger прошёл множество аудитов и проверок безопасности, и, согласно раскрытию, сеть выплатила более 1 миллиона долларов в виде наград за обнаружение ошибок. Такие программы побуждают исследователей ответственно сообщать об уязвимостях, вместо того чтобы оставлять их доступными для эксплуатации злоумышленниками — модель стимулов, широко распространённая сегодня в блокчейн-индустрии.

Этот инцидент напоминает о важности своевременного обновления программного обеспечения в блокчейн-сетях. Валидаторы критически важны, поскольку их ПО обеспечивает работу и безопасность реестра, а оперативные обновления при выявлении критических уязвимостей позволяют минимизировать риски. Установка исправления от 25 сентября более чем 80% валидаторов по умолчанию в первый же день наглядно продемонстрировала этот принцип.

Несмотря на серьёзность потенциальной атаки, сообщений о несанкционированном создании XRP не поступало, и разработчики не обнаружили свидетельств того, что пользователи публичных сетей потеряли средства из-за этой уязвимости. Таким образом, крупная теоретическая угроза была устранена без каких-либо инцидентов в публичной сети.