Що сталося
9 жовтня 2026 року розробники XRP Ledger опублікували звіт про вразливість у платіжному рушії мережі. Помилка жила в коді з 2015 року й дозволяла однією спеціально зібраною транзакцією створити XRP, яких не існує, до того ж, за словами авторів звіту, «далеко понад усю пропозицію». Загалом під час запуску мережі було випущено 100 млрд XRP. Баг закрили в екстреному релізі xrpld 3.4.1 від 25 вересня. Слідів його використання в жодній публічній мережі розробники не знайшли.
Деталі
- Суть помилки. Коли платіж проходить через книгу ордерів, рушій додає суми всіх заявок, які він виконав. Додавання йшло 64-бітними цілими числами без перевірки на переповнення. Кілька сотень заявок із величезними цінами в XRP давали суму, більшу за межу, і вона «оберталася» на крихітне число. Продавці отримували повні суми, а покупець платив кілька сотень drops (мільйонних часток XRP) плюс комісію.
- Чому захист мовчав. Вбудована перевірка «транзакція не створює XRP» рахувала тим самим 64-бітним лічильником і переповнювалася так само.
- Ціна атаки. Кілька сотень XRP на резерви акаунтів і заявок (їх повертають) плюс звичайні комісії. Випадково баг спрацювати не міг.
- Хто знайшов. Cayden Liao і Veria AI, через програму баг-баунті 22 вересня. Початкова оцінка — Major, інженери RippleX підняли її до критичної.
- Як виправляли. Виправлення вмикалося одразу після оновлення сервера, без голосування валідаторів за поправку (amendment). Уперше зміну обробки транзакцій випустили в обхід цієї процедури. Уже 25 вересня на 3.4.1 працювало понад 80% валідаторів зі списку за замовчуванням (UNL), хоча вихідний код ще не опублікували. На GitHub його виклали 10 жовтня.
- Другий баг у тому самому релізі стосувався функції Batch (пакетні транзакції) і коштів не зачіпав. Поправку fixBatchV1_2 активовано в основній мережі 9 жовтня.
Що це означає
Стосується це насамперед операторів серверів і валідаторів XRP Ledger. Їм потрібна версія 3.4.1 або новіша: після активації fixBatchV1_2 сервер на старій версії отримав статус amendment blocked, тобто більше не може обробляти нові блоки мережі. Власникам XRP на біржах і в гаманцях нічого робити не потрібно. Баланси не постраждали.
Ризик був масштабним: емісія понад 100 млрд монет за вкладень у кілька сотень XRP, і створені монети можна було вивести на біржі. Але вікно вже закрите, тож для власників монет горизонту в цієї новини немає. Для операторів строк — зараз: з 10 жовтня код виправлення публічний, і механіку бага бачать усі. Урок для ринку в іншому: помилка прожила близько десяти років в одній із найстаріших мереж, і знайшов її зовнішній дослідник через баг-баунті. The Defiant пише про «трильйони» XRP, але точної суми у звіті розробників немає.
