A RippleX, equipe de engenharia e desenvolvimento de software da Ripple, corrigiu uma vulnerabilidade crítica no XRP Ledger (XRPL).
Notavelmente, a falha poderia ter permitido que invasores criassem cerca de 18,45 trilhões de XRP em uma única transação, potencialmente violando o limite original de 100 bilhões de tokens da rede.
Pesquisadores da Veria Labs, uma startup de cibersegurança sediada nos EUA, descobriram a falha usando um agente de segurança baseado em inteligência artificial, que desenvolveu um exploit funcional em um ambiente de testes local. A vulnerabilidade permanecia sem ser detectada no código de processamento de pagamentos do XRPL desde 2015.
Em um relatório de 12 de outubro, os pesquisadores alertaram que a falha poderia ter colocado em risco o valor de mercado declarado do XRP, de US$ 94 bilhões. A vulnerabilidade envolvia um estouro de inteiro no mecanismo de pagamentos do XRPL. Quando uma transação processava várias ordens de uma exchange descentralizada, o software podia calcular incorretamente a quantidade total de XRP necessária para liquidá-las.
Isso permitia que os vendedores recebessem os valores integrais associados às suas ordens, enquanto o comprador pagava bem menos. Um segundo erro aritmético no mecanismo de proteção da oferta do ledger poderia então impedir que a transação fosse rejeitada.
A Veria Labs estimou que uma única transação bem-sucedida poderia criar mais de 184 vezes a oferta original de XRP do XRPL. Os pesquisadores também disseram que o ataque poderia ser repetido nas condições adequadas.
“Um invasor poderia ter criado XRP utilizável em uma única transação validada, em quantidade muito superior à oferta total”, afirmou a Veria Labs.
A empresa comunicou a vulnerabilidade em 22 de setembro de 2026. A correção foi integrada no dia seguinte, e o lançamento emergencial do software, rippled 3.4.1, ocorreu em 25 de setembro.
A resposta contornou o processo padrão de emendas do XRPL, que geralmente exige o apoio de mais de 80% dos validadores confiáveis durante duas semanas.
Para contextualizar, os desenvolvedores optaram por uma atualização imediata do software porque publicar a correção enquanto aguardavam o processo habitual de aprovação poderia ter exposto a vulnerabilidade a invasores antes que a rede estivesse totalmente protegida. Segundo a divulgação, mais de 80% dos validadores padrão atualizaram o software no dia do lançamento.
A divulgação ocorre após um incidente de segurança separado, em agosto, no qual um invasor roubou aproximadamente US$ 200.000 da ponte entre blockchains tx XRPL. O ataque envolveu um software que reconhecia incorretamente transações como depósitos, embora o XRP correspondente não tivesse chegado às reservas da ponte.
O operador da ponte suspendeu o serviço posteriormente e corrigiu a vulnerabilidade.
Ainda assim, no domingo, os desenvolvedores do XRPL anunciaram planos para reforçar os testes de segurança, exigindo novos testes obrigatórios de vulnerabilidades corrigidas antes dos lançamentos e ampliando a detecção de bugs assistida por IA.
“Juntamente com a RippleX e a comunidade, garantiremos que o XRP Ledger esteja protegido contra vulnerabilidades como essa. Isso significa aplicar de forma radical a Verificação Formal e testes adversariais com IA, colaborar estreitamente com pesquisadores de segurança e reforçar o programa de recompensa por bugs”, afirmaram no X.