XRP Ledgerの開発者は、特定の取引条件下で未承認のXRPが生成される可能性があった2015年のバグを修正しました。
報道によると、調査担当者は公開ネットワークで悪用された証拠を発見しませんでしたが、テストにより、この脆弱性によって使用可能なXRPが生成される可能性が確認されました。
緊急ソフトウェアアップデートは、供給の完全性に関わる潜在的なリスクに対処するもので、ネットワーク全体でバリデーターが連携してアップグレードを行う必要がありました。
開発者が未承認のトークンを生成できた可能性のある古いソフトウェアのバグを修正したことで、XRP Ledgerのセキュリティに注目が集まりました。
XRP Ledgerの開発者、長年存在していた脆弱性に対処
RippleXは、2015年までさかのぼるソフトウェアの脆弱性を明らかにしました。一部の状況では、攻撃者がこの脆弱性を利用して使用可能なXRPを生成できる可能性がありました。この開示が説明したのは、潜在的なセキュリティ上の欠陥であり、確認済みの攻撃ではありません。
Whale Insiderは最近の投稿を通じて、この動きを広く知らせました。その投稿は、正当な裏付けなしに数十億枚のXRPが生成される可能性に焦点を当てていました。しかし、報告された脆弱性は修正されており、調査担当者は公的ネットワークで悪用された証拠を確認していません。
https://twitter.com/WhaleInsider/status/2108781536338145677?s=20
この不具合は、台帳の決済エンジン内で発生する整数オーバーフローに関するものでした。特定の取引で、計算結果として支払われるべき額が誤って算出される可能性がありました。このエラーにより、攻撃者が取引の根拠となる額を超えるXRPを受け取れるおそれがありました。
この脆弱性を悪用するには、多数のオーダーブックのオファーを含む、慎重に組み立てられた決済が必要でした。攻撃者はオファーの値を操作し、計算エラーを引き起こすことができました。通常の取引で日常的にこの不具合が発生するとは説明されていません。
この不具合はXRPの供給量の整合性を脅かすおそれがあった
懸念は決済の正確性にとどまらず、台帳の供給量を守る仕組みにも及びました。こうした制御は、プロトコルの会計ルールを維持するために設計されています。計算に不具合があれば、無許可の残高が通常の検証チェックをすり抜ける可能性がありました。
開示によると、同じ算術上の問題が供給量不変条件のチェックにも影響する可能性がありました。そのため、誤って生成されたトークンを保護機能が検出できないおそれが生じました。管理された環境でのテストでは、生成されたXRPをその後使用できることが確認されたと報告されています。
この点から、この脆弱性は一時的な表示上の問題や会計上の不一致よりも深刻なものでした。使用可能なトークンが、正当な残高であるかのように流通する可能性がありました。こうした事態は、台帳の供給量の整合性に対する信頼を損なうおそれがあります。
XRPの総供給量には1,000億枚の上限があります。無許可での生成により、残高や供給量の会計処理の整合性に懸念が生じた可能性があります。この開示によって、追加のXRPが売却されたことが証明されたわけではありません。
緊急パッチでセキュリティリスクに対処
この脆弱性は、2026年9月22日にXRP Ledgerのバグ報奨金プログラムを通じて報告されたとされています。開発者は問題を調査し、管理された環境で再現しました。修正は、9月25日にリリースされたXRPOLDバージョン3.4.1に含まれました。
深刻度を受け、ネットワーク運営者は緊急の対応を迫られました。通常の修正手順に加え、運営者には速やかなアップグレードが推奨されました。開示によると、デフォルトのユニークノードリスト（UNL）に含まれるバリデーターの80％超が、リリース当日にアップグレードしました。
ネットワークは、互換性のあるソフトウェアを使って稼働する独立したバリデーターに依存しているため、バリデーター間の連携は重要です。深刻な不具合は、十分な数の参加者が修正を適用するまで影響を及ぼす可能性があります。そのため、明確な情報開示と迅速なアップデートは、ブロックチェーンのセキュリティを維持するうえで重要な要素となります。
報告書では、攻撃の可能性と確認済みのインシデントも区別されています。RippleXによると、公的ネットワークでこの不具合が悪用された証拠は確認されていません。したがって、入手可能な情報からは、公的ネットワークでの攻撃が確認されないまま不具合が修正されたことが示されています。
XRP保有者にとって重要な進展は、供給ルールを脅かしかねなかった脆弱性が修正されたことです。この開示は、数十億枚のトークンが発行されたことを証明するものではありません。むしろ、悪用される可能性のある脆弱性、その技術的な修正、そして公的ネットワークで悪用されたとの報告がないことを記録したものです。