Компания Ripple сообщила, что критическая уязвимость в платежном движке XRP Ledger, существовавшая более десяти лет, была закрыта до публичного раскрытия. Исправление вошло в релиз серверного ПО xrpld 3.4.1 25 сентября 2026 года. По данным расследования, свидетельств эксплуатации уязвимости в публичной сети не обнаружено, несанкционированная эмиссия XRP не зафиксирована.
В XRP Ledger Foundation пояснили, что предложение XRP было зафиксировано на уровне 100 млрд монет при запуске сети, и ни одна транзакция не может создавать новые активы. Дефект находился в платежном движке, который рассчитывает суммы при проведении сделок через встроенный обменник XRPL. При специально сконструированных условиях арифметическое переполнение могло приводить к занижению итогового обязательства: продавец потенциально мог получить больше XRP, чем заплатил покупатель. Таким образом, под угрозой находилось базовое монетарное правило реестра, а не только средства отдельного счета.
Старший директор по инжинирингу RippleX Дж. Айо Акиньеле заявил, что дефект существовал в кодовой базе более десяти лет и теоретически позволял создавать XRP сверх фиксированного предложения. Публичное раскрытие состоялось 9 октября, а 10 октября Акиньеле прокомментировал ситуацию, отметив, что уязвимость была обнаружена при участии Veria AI в рамках программы bug bounty. По его словам, искусственный интеллект принципиально меняет скорость выявления подобных проблем.
RippleX подчеркнула, что разработчики протестировали патч и согласовали обновление с операторами узлов до публикации информации. Обновление серверного ПО не связано с процедурой изменения протокольных правил через голосование валидаторов: исправление вступило в силу по мере обновления узлов на версию xrpld 3.4.1. Отчет XRP Ledger Foundation описывает переполнение в платежном движке и меры по его устранению.
Для держателей XRP инцидент означает наличие серьезной, но уже устраненной уязвимости, а не подтвержденную потерю средств. В доступных материалах нет данных о реальном выпуске неавторизованных монет или компрометации пользовательских активов. В то же время возраст дефекта указывает на то, что защитный механизм, призванный предотвращать создание новых XRP, долгое время не улавливал арифметическую ошибку в одном из ключевых платежных путей.
