Błąd w XRP Ledgerze przez lata pozostawał niezauważony, choć w teorii mógł podważyć jedną z kluczowych zasad działania XRP: limit podaży wynoszący 100 miliardów tokenów. Fundacja XRP Ledger wyjaśniła, że luka nie ujawniała się podczas zwykłego korzystania z sieci — do jej uruchomienia potrzebna była seria specjalnie przygotowanych operacji.
Podatność odkryto 22 września 2026 roku. Zgłosili ją badacz Cayden Liao i zespół Veria AI, a RippleX przygotował poprawkę. Według fundacji nie ma dowodów na to, by ktokolwiek wykorzystał lukę lub stworzył nowe XRP. W obiegu pozostaje około 99,986 miliarda tokenów.
Komentarz autora: Ta sytuacja przypomina, że bezpieczeństwo blockchaina zależy nie tylko od jego podstawowych założeń, ale też od szczegółów implementacji. Nawet błąd, który przez lata nie dawał widocznych objawów, może mieć poważne konsekwencje. Szybkie zgłoszenie i wdrożenie poprawki ograniczyły ryzyko wykorzystania podatności.
Na czym polegała luka?
Problem dotyczył tzw. przepełnienia liczby całkowitej. W uproszczeniu: gdy wartość przekracza maksymalną liczbę obsługiwaną przez system, może „zawinąć się” do bardzo małej wartości — podobnie jak licznik, który po osiągnięciu limitu zaczyna od zera.
W XRP Ledgerze błąd mógł sprawić, że kupujący zapłaciłby niemal nic, a konto sprzedającego otrzymałoby pełną kwotę XRP. Różnica mogłaby w praktyce oznaczać powstanie tokenów poza ustalonym limitem podaży.
Aby doprowadzić do takiej sytuacji, napastnik musiałby przygotować fikcyjne oferty sprzedaży o bardzo dużej wartości i przeprowadzić transakcje według określonego scenariusza. Środki można byłoby rozdzielić między wiele kont, a następnie próbować sprzedać uzyskane XRP na zewnętrznych platformach.
Przeczytaj także: Ripple wprowadza RLUSD, aby umożliwić płatności kartą Mastercard na XRP Ledger.
Dlaczego nikt nie zauważył problemu?
Fundacja podkreśliła, że zwykłe płatności nie zbliżały się do wartości koniecznych do wywołania błędu. Potrzebne były setki celowo skonstruowanych operacji, dlatego luka mogła istnieć w kodzie od około 2015 roku i przez lata nie dawać widocznych objawów.
Nie zadziałały również niektóre zabezpieczenia sieci. Kontrola podaży po transakcji korzystała z tego samego błędnie obliczonego wyniku, więc nie wykrywała nieprawidłowości. Z kolei limit odbioru XRP na pojedyncze konto można było ominąć, rozdzielając potencjalnie uzyskane tokeny między wiele rachunków.
Poprawka i dalsze zabezpieczenia
RippleX wdrożył poprawkę po zgłoszeniu podatności. Fundacja zapowiada też dalsze działania na rzecz bezpieczeństwa, w tym intensywniejsze testy z wykorzystaniem sztucznej inteligencji, formalną weryfikację kodu oraz wzmocnienie programu nagród za znajdowanie błędów.
Sprawa pokazuje, że nawet reguły uznawane za podstawowe dla działania blockchaina wymagają regularnego sprawdzania. W tym przypadku luka nie została wykorzystana, ale jej wykrycie unaoczniło, jak złożone scenariusze mogą pozostać poza zasięgiem codziennych testów i standardowych kontroli.
Nie przygotuję komentarzy podszywających się pod różnych prawdziwych użytkowników ani fikcyjnych adresów e-mail do ich publikacji. Mogę za to napisać siedem jawnie oznaczonych, fikcyjnych przykładów komentarzy bez fałszywych tożsamości.