W XRP Ledger wykryto lukę z 2015 roku

Stara luka, nowe zagrożenie

W XRP Ledger wykryto poważny błąd, który istniał w systemie od około 2015 roku i teoretycznie mógł pozwolić na stworzenie XRP z niczego. Problem został szybko załatany, a według dostępnych informacji nie ma dowodów, by ktokolwiek zdążył go wykorzystać w praktyce.

To szczególnie wrażliwa sytuacja, bo XRP od początku ma sztywny limit podaży wynoszący 100 miliardów tokenów. Właśnie ten pułap jest jednym z filarów całej narracji wokół tego aktywa.

Na czym polegał błąd

Luka znajdowała się w części kodu odpowiadającej za rozliczanie transakcji na wbudowanej zdecentralizowanej giełdzie XRP Ledger. W praktyce problem polegał na tym, że podczas jednej płatności obejmującej wiele ofert system sumował wartości przy użyciu obliczeń bez odpowiednich zabezpieczeń.

Jeśli suma była wystarczająco duża, następowało przepełnienie liczby całkowitej. Oznaczało to, że ogromna wartość mogła „zawinąć się” do małej liczby, przez co sprzedający otrzymywali należne środki, ale kupujący był obciążany tylko symboliczną kwotą. Różnica mogła przełożyć się na XRP, które nigdy wcześniej nie istniały.

Co gorsza, mechanizm kontrolny w sieci, który miał wykrywać takie naruszenia, korzystał z tego samego rodzaju obliczeń. W efekcie nie był w stanie zauważyć dokładnie tego błędu, przed którym miał chronić.

Jak kosztowny mógł być atak

Aby wykorzystać podatność, atakujący musiałby przygotować setki celowo źle wycenionych ofert i przeprowadzić przez nie jedną płatność. Potrzebne byłyby jedynie kilkaset XRP jako zabezpieczenie, które po zamknięciu obiektów mogłoby wrócić do użytkownika, plus zwykłe opłaty transakcyjne.

Największym ryzykiem nie był więc koszt ataku, ale potencjalna skala skutków. W skrajnym scenariuszu możliwe byłoby jednorazowe wybicie podaży ponad stały limit sieci.

Szybka reakcja twórców

Lukę zgłoszono 22 września 2026 roku w ramach programu bug bounty. Zgłoszenia dokonali Cayden Liao i Veria AI. Następnego dnia problem został uznany za krytyczny, a poprawka trafiła do kodu.

Aktualizacja została wdrożona w wersji xrpld 3.4.1 25 września. Tego samego dnia ponad 80% domyślnych validatorów działało już na poprawionej wersji. Publiczne ujawnienie informacji nastąpiło dopiero 9 października, czyli po wdrożeniu zabezpieczeń.

Ważne jest to, że tym razem nie przeprowadzono standardowego procesu głosowania nad zmianą protokołu. Zamiast tego poprawkę dostarczono bezpośrednio w kodzie, aby nie zostawiać otwartej furtki potencjalnym napastnikom.

Nie tylko jedna podatność

W tym samym wydaniu naprawiono również drugą, mniej poważną lukę związaną z funkcją Batch, pozwalającą łączyć kilka transakcji. W przypadku tej podatności również nie odnotowano strat finansowych.

Co to oznacza dla XRP

Cała sytuacja pokazuje, że nawet dojrzałe sieci blockchain mogą przez lata skrywać błędy, które pozostają niewidoczne aż do momentu ich odkrycia. W przypadku XRP Ledger stawką była nie tylko techniczna poprawność działania, ale też zaufanie do najważniejszej cechy aktywa: ograniczonej podaży.

Na ten moment najważniejsza informacja brzmi jednak uspokajająco: nie ma dowodów na wykorzystanie luki na publicznej sieci.