El XRP Ledger (XRPL) ha corregido una vulnerabilidad crítica que podría haber existido desde alrededor de 2015. El fallo, descubierto por los investigadores de seguridad Cayden Liao y Veria Labs, podría haber permitido, en teoría, que un atacante creara aproximadamente 18,45 billones de XRP disponibles para gastar mediante una transacción especialmente diseñada, una cantidad muy superior al límite oficial de suministro de la red, de 100.000 millones de tokens. Sin embargo, los investigadores no encontraron pruebas de que la vulnerabilidad se hubiera explotado alguna vez.
El problema consistía en un desbordamiento de enteros en el motor de procesamiento de pagos de XRPL, que podía hacer que las transacciones complejas con varias ofertas del libro de órdenes calcularan incorrectamente los pagos. En una prueba controlada, el fallo demostró que podía compensar por completo a los vendedores mientras cobraba casi nada a los compradores. Más preocupante aún, el mecanismo de protección del suministro se basaba en los mismos cálculos defectuosos, lo que podría haber permitido que la creación no autorizada de XRP pasara inadvertida.
Tras recibir el informe sobre la vulnerabilidad el 22 de septiembre, los ingenieros de RippleX reprodujeron el problema, lo clasificaron como crítico y publicaron una corrección de emergencia mediante la versión 3.4.1 de xrpld el 25 de septiembre. Según se informó, más del 80 % de los validadores adoptó la actualización ese mismo día. Para reducir al mínimo el riesgo de explotación, los desarrolladores evitaron el proceso habitual de enmiendas de XRPL, que suele exigir el apoyo sostenido de los validadores durante aproximadamente dos semanas.
Tanto RippleX como la XRP Ledger Foundation confirmaron que no se había detectado ninguna creación no autorizada de XRP y que el límite de suministro de 100 mil millones seguía intacto. No obstante, el incidente planteó interrogantes sobre el equilibrio entre la gobernanza descentralizada y la necesidad de responder rápidamente a las amenazas de seguridad.
En respuesta, Ripple planea reforzar su programa de recompensas por errores, ampliar el análisis de código asistido por IA e introducir la verificación formal de los componentes críticos del libro mayor. Estas medidas buscan detectar antes vulnerabilidades similares y aumentar la confianza en la seguridad de XRPL.
En última instancia, el incidente sirve como recordatorio de que incluso las redes blockchain consolidadas pueden tener vulnerabilidades de larga data. Aunque la falla se corrigió antes de que se conociera algún intento de explotación, las auditorías de seguridad continuas, la supervisión transparente del suministro y unos procedimientos claros de gobernanza de emergencia seguirán siendo esenciales para mantener la confianza en el XRP Ledger. #xrp $XRP
