O XRP Ledger (XRPL) corrigiu uma vulnerabilidade crítica que possivelmente existia desde cerca de 2015. A falha, descoberta pelos pesquisadores de segurança Cayden Liao e Veria Labs, poderia, em teoria, permitir que um invasor criasse aproximadamente 18,45 trilhões de XRP utilizáveis por meio de uma transação especialmente elaborada, muito acima do limite oficial de oferta da rede, de 100 bilhões de tokens. No entanto, os investigadores não encontraram evidências de que a vulnerabilidade tenha sido explorada alguma vez.
O problema envolvia um estouro de inteiro no mecanismo de processamento de pagamentos do XRPL, que poderia fazer com que transações complexas envolvendo várias ofertas do livro de ordens calculassem os pagamentos incorretamente. Em um teste controlado, a falha demonstrou que seria possível compensar integralmente os vendedores e cobrar quase nada dos compradores. Mais preocupante ainda, o mecanismo de proteção da oferta dependia dos mesmos cálculos falhos, o que poderia permitir que a criação não autorizada de XRP passasse despercebida.
Após receber o relatório da vulnerabilidade em 22 de setembro, os engenheiros da RippleX reproduziram o problema, classificaram-no como crítico e lançaram uma correção de emergência por meio da versão 3.4.1 do xrpld em 25 de setembro. Segundo relatos, mais de 80% dos validadores adotaram a atualização no mesmo dia. Para minimizar o risco de exploração, os desenvolvedores contornaram o processo habitual de emendas do XRPL, que normalmente exige apoio contínuo dos validadores durante cerca de duas semanas.
Tanto a RippleX quanto a XRP Ledger Foundation confirmaram que não havia sido detectada nenhuma criação não autorizada de XRP e que o limite máximo de oferta de 100 bilhões permanecia intacto. Ainda assim, o incidente levantou questões sobre o equilíbrio entre a governança descentralizada e a necessidade de respostas rápidas a ameaças à segurança.
Em resposta, a Ripple planeja fortalecer seu programa de recompensas por bugs, ampliar a análise de código assistida por IA e introduzir a verificação formal de componentes críticos do ledger. Essas medidas visam identificar vulnerabilidades semelhantes mais cedo e aumentar a confiança na segurança do XRPL.
Em última análise, o incidente serve como um lembrete de que até mesmo redes blockchain consolidadas podem conter vulnerabilidades antigas. Embora a falha tenha sido corrigida antes de qualquer exploração conhecida, auditorias de segurança contínuas, monitoramento transparente da oferta e procedimentos claros de governança de emergência continuarão sendo essenciais para manter a confiança no XRP Ledger. #xrp $XRP
