Уязвимость в XRP Ledger, существовавшая с 2015 года, могла позволить злоумышленникам создавать крупные объемы XRP без оплаты, что потенциально нарушило бы фиксированное предложение сети в 100 миллиардов токенов.

Исследователь Кейден Ляо в сотрудничестве с Veria AI обнаружил уязвимость и приватно сообщил о ней команде разработчиков Ripple 22 сентября 2026 года. Инженеры RippleX воспроизвели атаку на закрытом тестовом сервере и подтвердили, что злоумышленник мог создать новые XRP, а затем потратить их как легитимные токены.

Ripple заявила, что не нашла свидетельств того, что этот метод когда-либо применялся в публичной сети. Разработчики устранили проблему в обновлении программного обеспечения xrpld 3.4.1, выпущенном 25 сентября, хотя в момент выпуска обновление не раскрывало подробностей уязвимости. Тихое исправление соответствует стандартной практике ответственного раскрытия, при которой исследователи сообщают об ошибках приватно, чтобы сопровождающие успели выпустить исправление до публикации технических деталей. Как и в целом для ПО ledger, исправление полностью вступит в силу по мере обновления валидаторов и операторов узлов до исправленной версии.

Раскрытию предшествовал пост Coin Bureau в X:

⚡️GOOD NEWS: XRP Ledger patches a DECADE-OLD security flaw that could have created BILLIONS of dollars worth of XRP out of thin air. The bug, dating back to 2015, could have allowed attackers to generate and spend $XRP without funding it, potentially breaking the token's fixed… pic.twitter.com/06X2rrPRHE — Coin Bureau (@coinbureau) October 10, 2026

Как работала уязвимость

Все 100 миллиардов XRP были созданы при запуске ledger в 2012 году, и программное обеспечение было спроектировано так, чтобы исключить эмиссию дополнительных монет. Уязвимость была связана со встроенной обменной системой XRP Ledger, где пользователи размещают ордера на обмен одного токена на другой.

Злоумышленник мог бы открыть сотни небольших аккаунтов. Затем каждый аккаунт предлаг бы небольшое количество одного токена в обмен на очень большое количество XRP. Отправив единый платеж, который одновременно исполняет все ордера, злоумышленник мог бы сделать так, чтобы общая сумма задолженности в XRP превысила возможности корректного расчета системы.

В таких условиях аккаунты, продающие токены, получали бы оплату полностью, а аккаунт покупателя списывал бы почти ничего. Результатом стало бы появление новых XRP без соответствующих затрат для злоумышленника.

Встроенная защита, предназначенная для обнаружения создания новых XRP, не сработала, поскольку опиралась на тот же ошибочный расчет. Отдельный лимит на количество XRP, которое может получить один аккаунт, также не предотвратил бы атаку, так как злоумышленник мог распределить токены между множеством аккаунтов.

Для проведения атаки потребовалось бы лишь небольшое количество XRP для создания аккаунтов, а также стандартные комиссии за транзакции — стоимость настолько низкая, что осуществимость эксплойта зависела от самой ошибки в ПО, а не от значительного капитала.

Обновление ПО XRPL и функция Batch

Эта уязвимость стала одной из нескольких давних ошибок в криптовалютах, выявленных в этом году с помощью ИИ-инструментов, после аналогичных находок в кошельке Coldcard и программном обеспечении Core Lightning. Во всех этих случаях ошибки годами оставались незамеченными в широко используемых системах, пока ИИ-анализ не выявил их.

Отдельно в XRP Ledger в основной сети активирована функция под названием Batch. Batch позволяет пользователям объединять от двух до восьми транзакций в одно действие. Изменение одобрили 30 из 35 валидаторов сети, что соответствует требуемой двухнедельной супербольшинству для активации.

Функция включает четыре настройки. Одна из них требует, чтобы все транзакции в пакете завершились успешно; если хотя бы одна транзакция не проходит, не проходит весь пакет. Этот режим «все или ничего» нацелен на типичную проблему многоэтапных торгов, когда исполнение одной части без другой может оставить трейдера с неожиданной позицией. Сторонники утверждают, что Batch может быть полезен для сделок, расчетов и обмена NFT, требующих одновременного выполнения нескольких шагов. Документация XRP Ledger по функции Batch доступна по адресу

В связанной новости компания Evernorth, связанная с XRP, готовится к листингу на бирже Nasdaq под тикером XRPN. Компания сообщила, что дата листинга перенесена с 8 октября на 12 октября из-за административной задержки. Для читателей, следящих за публичными компаниями, связанными с XRP, перенесенный дебют и размер планируемых активов компании являются ключевыми пунктами на ближайшее время.

Согласно документам, поданным в Комиссию по ценным бумагам и биржам США (SEC), после завершения листинга Evernorth рассчитывает держать примерно 473 миллиона XRP.

Оригинальный материал: https://coincentral.com/xrp-ledger-fixes-old-bug-that-could-have-created-billions-in-fake-tokens/