Разработчики XRP Ledger раскрыли информацию о критической ошибке переполнения, которая могла позволить злоумышленнику создать XRP из воздуха, превысив жёсткий лимит сети в 100 миллиардов токенов. Уязвимость затрагивала xrpld — основное серверное ПО реестра — в версиях 3.4.0 и более ранних. В сентябре она была незаметно исправлена, а 9 октября 2026 года информация стала публичной. Расследование не выявило признаков эксплуатации в публичной сети.

Как работала уязвимость

Ошибка заключалась в том, как xrpld подсчитывал суммы платежей. Когда один платеж использовал ликвидность из нескольких ордеров на децентрализованном стакане заявок, программа суммировала задействованный объём XRP с помощью 64-битного целого числа. Если сумма превышала максимальное значение, которое могло храниться в этом числе, происходило переполнение, и итог оказывался значительно меньше реального. Подобные ошибки переполнения — классическая категория программных дефектов: арифметика «перерастает» фиксированный размер переменной, хранящей результат, — и это одна из первых опасностей, которые ищут ревьюеры в коде, перемещающем деньги.

Злоумышленник мог воспользоваться этим разрывом, чтобы потратить несуществующий XRP. Поскольку завышенные балансы были распределены по множеству аккаунтов, существующие проверки целостности реестра не выявляли расхождение — книги выглядели сбалансированными, в то время как фактическая эмиссия тихо возрастала.

Стоимость такой атаки была на удивление низкой. Согласно раскрытой информации, эксплойт требовал специально подготовленных ордеров от сотен аккаунтов, что обходилось всего в несколько сотен XRP резервов и комиссий, большая часть которых была бы возвращена. Объём XRP, который можно было выпустить в одной транзакции, мог превысить весь совокупный объём предложения токена.

Тихое исправление, затем публичное раскрытие

Об уязвимости 22 сентября 2026 года сообщил исследователь Кейден Ляо через программу XRPL Bug Bounty. RippleX, разработческое подразделение Ripple, подтвердила проблему и воспроизвела атаку на изолированном сервере, убедившись, что избыточный XRP можно потратить в последующих транзакциях.

Через три дня после сообщения, 25 сентября 2026 года, вышел экстренный релиз: xrpld 3.4.1. Исправление также обошло обычный процесс внесения поправок, при котором изменения правил сети обычно вступают в силу только после процедуры голосования валидаторов. Этот патч был развёрнут немедленно.

Публичное раскрытие последовало 9 октября, примерно через две недели после выпуска исправленного ПО. Команда сообщила об отсутствии потери средств, скомпрометированных ключей и проблем с консенсусом связанных с ошибкой. Такая последовательность соответствует практике координированного раскрытия уязвимостей — стандартному в информационной безопасности подходу, при котором исправления выпускаются до публикации деталей, давая операторам время обновиться до того, как информация, способная помочь атаке, станет публичной. Программа XRPL Bug Bounty, благодаря которой поступило сообщение, — часть той же системы: она выплачивает независимым исследователям вознаграждение за приватное обнаружение уязвимостей вместо их эксплуатации или самостоятельного раскрытия.

Десять лет в тени

Предполагается, что уязвимость существовала с момента создания платёжного движка около 2015 года — то есть код годами обрабатывал платежи с латентным переполнением внутри. Ошибки, способные увеличить объём нативного актива блокчейна, редки, но не беспрецедентны: в 2018 году разработчики Bitcoin Core выпустили экстренный патч для уязвимости, которая также позволяла создать биткоин вне правил эмиссии сети.

Что это значит для держателей XRP и реестра

Для держателей XRP главный вывод обнадёживает: признаков эксплуатации ошибки нет, а целостность предложения токенов, судя по всему, не нарушена. Этот случай также напоминает, что жёсткий лимит предложения в конечном счёте обеспечивается кодом — и надёжен лишь настолько, насколько надёжен этот код.

Однако решение обойти процесс внесения поправок заслуживает внимания. Известный путь к неограниченной эмиссии XRP — не то, что может ждать голосования по управлению, но экстренные патчи, минующие стандартные процедуры, возлагают значительное доверие на основную команду разработчиков. В данном случае безопасность сети зависела от быстрого обновления валидаторов и операторов узлов.

Прямая аудитория этой новости — операторы узлов, всё ещё использующие xrpld 3.4.0 или более ранние версии. Исправленная версия 3.4.1 доступна с 25 сентября, и все, кто не обновился, работают на ПО с ныне публично задокументированной уязвимостью, нарушающей лимит предложения.

Источник: CryptoBriefing