RippleX, команда Ripple по инженерии и разработке программного обеспечения, устранила критическую уязвимость в XRP Ledger (XRPL).
Примечательно, что этот изъян мог позволить атакующим создать около 18.45 триллиона XRP за одну транзакцию, потенциально нарушив первоначальный лимит сети в 100 миллиардов токенов.
Исследователи из американского стартапа в сфере кибербезопасности Veria Labs обнаружили уязвимость с помощью агента безопасности на базе искусственного интеллекта, который разработал рабочий эксплойт в локальной тестовой среде. Эта уязвимость оставалась необнаруженной в коде обработки платежей XRPL с 2015 года.
В отчёте от 12 октября исследователи предупредили, что уязвимость могла поставить под угрозу заявленную рыночную капитализацию XRP в размере 94 миллиардов долларов. Она была связана с переполнением целого числа в платёжном механизме XRPL. При обработке транзакцией нескольких ордеров децентрализованной биржи программа могла неправильно рассчитать общее количество XRP, необходимое для их исполнения.
Это позволяло продавцам получать полную сумму по своим ордерам, в то время как с покупателя списывалось значительно меньше. Вторая арифметическая ошибка в механизме защиты предложения токенов в реестре могла затем помешать отклонить транзакцию.
По оценке Veria Labs, одна успешная транзакция могла создать XRP в количестве, более чем в 184 раза превышающем первоначальный объём предложения XRP в XRPL. Исследователи также отметили, что при подходящих условиях атаку можно было повторять.
«Злоумышленник мог создать в одной подтверждённой транзакции XRP, доступные для расходования, в количестве, намного превышающем общий объём предложения», — заявили в Veria Labs.
Компания сообщила об уязвимости 22 сентября 2026 года. Исправление было включено в код на следующий день, а экстренный выпуск ПО rippled 3.4.1 состоялся 25 сентября.
Для этого обошли стандартную процедуру внесения изменений в XRPL, которая обычно требует поддержки более 80% доверенных валидаторов в течение двух недель.
Для контекста: разработчики предпочли немедленно выпустить обновление ПО, поскольку публикация исправления в ожидании обычной процедуры одобрения могла раскрыть уязвимость злоумышленникам до полной защиты сети. Согласно сообщению, более 80% валидаторов по умолчанию обновили ПО в день выпуска.
Раскрытие информации об уязвимости последовало за отдельным инцидентом с безопасностью в августе, когда злоумышленник похитил около 200 000 долларов из кроссчейн-моста tx XRPL. Атака стала возможной из-за программного обеспечения, которое ошибочно распознавало транзакции как депозиты, хотя соответствующие XRP ещё не поступили в резервы моста.
Впоследствии оператор моста приостановил работу сервиса и устранил уязвимость.
При этом в воскресенье разработчики XRPL объявили о планах усилить тестирование безопасности: перед выпуском обновлений уязвимости, которые были исправлены, будут проверяться повторно в обязательном порядке, а для обнаружения ошибок шире будут использоваться средства ИИ.
«Вместе с RippleX и сообществом мы обеспечим защиту XRP Ledger от подобных уязвимостей. Для этого необходимо кардинально расширить применение формальной верификации и состязательного тестирования с помощью ИИ, тесно сотрудничать с исследователями безопасности и усилить программу вознаграждений за обнаружение ошибок», — заявили они в X.