В XRP Ledger устранили уязвимость 2015 года, позволявшую создавать новые XRP

В коде XRP Ledger нашли ошибку, появившуюся в платёжном движке 2015 года. Она позволяла провести транзакцию, которая создавала XRP сверх фиксированного предложения сети. Проблему устранили незаметно, публично о ней рассказали 9 октября 2026 года в отчёте о раскрытии уязвимости.

Уязвимость нашли Кейден Ляо и Veria AI — они подали отчёт через программу XRPL Bug Bounty 22 сентября, присвоив ему уровень Major. Исходный код исправления опубликовали только после развёртывания, чтобы не давать злоумышленникам карту.

Как работала ошибка

Проблема была во встроенной децентрализованной бирже (DEX) XRP Ledger. Когда один платёж охватывал множество предложений, механизм складывал суммы через непроверенную 64-битную арифметику. При достаточно большой сумме происходило переполнение целого числа: гигантское значение превращалось в маленькое.

Продавцы на другой стороне сделки получали полную оплату, а с покупателя списывалась только «перенесённая», крошечная сумма. Разница и была XRP, которых раньше не существовало.

В реестре есть проверка-инвариант, которая должна подтверждать, что XRP никогда не создаётся. Она использовала ту же непроверенную математику и потому не ловила именно ту ошибку, ради которой существовала. В отчёте источником уязвимости назван действующий платёжный движок, написанный в 2015 году.

Сколько стоила бы такая атака

По отчёту, затраты — несколько сотен XRP, заблокированных как резервы (их возвращают после удаления объектов), плюс обычные комиссии за транзакции. Злоумышленнику нужно было разместить сотни предложений с намеренно заниженной ценой и пропустить через них один платёж.

Потенциальный ущерб RippleX назвала критическим: в рамках одной подтверждённой транзакции могло появиться количество XRP, превышающее общий объём предложения. Вся концепция XRP держится на жёстком лимите в 100 миллиардов токенов, и незаметная эмиссия подорвала бы основное обещание актива.

Кто нашёл и как быстро починили

• 22 сентября: Кейден Ляо и Veria AI представили выводы через XRPL Bug Bounty с уровнем Major.
• 23 сентября: RippleX воспроизвела ошибку, повысила уровень до критического и внедрила исправление.
• 25 сентября: выпустили версию xrpld 3.4.1, в тот же день на ней работали более 80% валидаторов из списка уникальных узлов (UNL) по умолчанию.
• 9 октября: публичное раскрытие информации.

Патч не проходил обычное голосование по поправкам — его выпустили прямым изменением кода в версии 3.4.1, и он вступал в силу по мере обновления каждого сервера. Аккаунт XRPL Operations сделал версию 3.4.1 минимально требуемой и заявил: «Мы не обнаружили никаких доказательств того, что эта уязвимость была использована в какой-либо публичной сети».

В том же релизе исправили вторую уязвимость, менее серьёзную. Она касалась формирования пакетных транзакций; исправление реализовано в поправке fixBatchV1_2, запущенной в Mainnet 9 октября вместе с BatchV1_1. Средства в результате этой уязвимости также не потеряны.

Отчёт вышел в неудачную для криптобезопасности неделю: потери от кражи устройств Ledger, о которых сообщал Bitcoin.com News, оценили в 93,4 млн долларов ≈ 286 млн BYN. Компания Evernorth, которую поддерживает Ripple, готовится в понедельник начать торги на Nasdaq под тикером XRPN, имея на счетах около 473 млн XRP. XRP расширяет присутствие в DeFi: недавно Firelight активировала в сети функцию защиты хранилища.