Самые пугающие уязвимости — не те, которыми воспользовались, а те, которыми чуть было не воспользовались.
9 октября команда XRPL сообщила: переполнение целого числа в платёжном движке, существовавшее примерно с 2015 года, позволяло злоумышленнику с помощью тщательно составленного ордера и одного платежа «из воздуха» создавать в основной сети $XRP, которые можно было потратить. Теоретически одной транзакцией можно было создать около 18 триллионов монет — примерно в 184 раза больше первоначального предложения в 100 миллиардов. Ещё хуже то, что инвариант XRPNotCreated, предназначенный для защиты от создания новых монет, использовал такой же 64-битный счётчик с переполнением — обе защиты одновременно переставали работать.
Хронология предельно сжата: 22 сентября ИИ-агент Veria Labs сообщил об уязвимости в рамках программы вознаграждений и в тот же день воспроизвёл её; 25 сентября экстренно выпустили xrpld 3.4.1, и в тот же день обновились более 80% валидаторов из списка Default UNL. Впервые за более чем десять лет работы механизма поправок исправление, связанное с обработкой транзакций, намеренно выпустили, не дожидаясь окончания окна голосования: стоило исходному коду стать общедоступным — и уязвимость оказалась бы выставлена напоказ в основной сети, готовая к копированию. По заявлению разработчиков, признаков эксплуатации в публичной сети не обнаружено; Veria получила максимальное вознаграждение — 250 000 долларов.
В том же отчёте также рассматривается проверка обёртки транзакций внутри Batch (fixBatchV1_2), активированная в основной сети 9 октября. В отличие от «кражи с биржи», здесь целостность предложения на уровне протокола едва не оказалась под угрозой — разбор произошедшего полезнее эмоций.
Источник: отчёт о раскрытии уязвимостей на xrpl.org (2026-10-09), технический разбор Veria Labs. Не является инвестиционной рекомендацией.