Что произошло
9 октября 2026 года разработчики XRP Ledger опубликовали отчёт об уязвимости в платёжном движке сети. Ошибка жила в коде с 2015 года и позволяла одной специально собранной транзакцией создать XRP, которых не существует, причём, по словам авторов отчёта, «далеко сверх всего предложения». Всего XRP при запуске сети было выпущено 100 млрд. Баг закрыли в экстренном релизе xrpld 3.4.1 от 25 сентября. Следов его использования ни в одной публичной сети разработчики не нашли.
Детали
- Суть ошибки. Когда платёж проходит через книгу ордеров, движок складывает суммы всех съеденных заявок. Сложение шло 64-битными целыми числами без проверки на переполнение. Несколько сотен заявок с огромными ценами в XRP давали сумму больше предела, и она «оборачивалась» в крошечное число. Продавцы получали полные суммы, а покупатель платил несколько сотен drops (миллионных долей XRP) плюс комиссию.
- Почему защита молчала. Встроенная проверка «транзакция не создаёт XRP» считала тем же 64-битным счётчиком и переполнялась точно так же.
- Цена атаки. Несколько сотен XRP на резервы аккаунтов и заявок (они возвращаются) плюс обычные комиссии. Случайно сработать баг не мог.
- Кто нашёл. Cayden Liao и Veria AI, через программу баг-баунти 22 сентября. Исходная оценка — Major, инженеры RippleX подняли её до критической.
- Как чинили. Исправление включилось сразу при обновлении сервера, без голосования валидаторов за поправку (amendment). Впервые изменение обработки транзакций выкатили в обход этой процедуры. Уже 25 сентября на 3.4.1 работало более 80% валидаторов из списка по умолчанию (UNL), хотя исходный код ещё не был опубликован. На GitHub его выложили 10 октября.
- Второй баг в том же релизе касался функции Batch (пакетные транзакции) и средства не затрагивал. Поправка fixBatchV1_2 активирована в основной сети 9 октября.
Что это значит
Касается это прежде всего операторов серверов и валидаторов XRP Ledger. Им нужна версия 3.4.1 или новее: после активации fixBatchV1_2 сервер на старой версии получил статус amendment blocked, то есть больше не может обрабатывать новые блоки сети. Держателям XRP на биржах и в кошельках делать ничего не нужно. Балансы не пострадали.
Риск был масштабным: эмиссия сверх 100 млрд монет при вложениях в несколько сотен XRP, и созданные монеты можно было вывести на биржи. Но окно уже закрыто, так что для холдеров горизонта у этой новости нет. Для операторов срок — сейчас: с 10 октября код исправления публичен, и механика бага видна всем. Урок для рынка в другом: ошибка прожила около десяти лет в одной из старейших сетей, и нашёл её внешний исследователь через баг-баунти. The Defiant пишет о «триллионах» XRP, но точной суммы в отчёте разработчиков нет.
