Ripple и XRP Ledger Foundation раскрыли детали критической уязвимости в платёжном движке XRP Ledger. Ошибка переполнения, которая около 11 лет оставалась в коде, позволяла создать расходуемый XRP сверх фиксированного предложения сети с помощью одной специально сформированной транзакции.
Уязвимость появилась в версии платёжного движка 2015 года и затрагивала xrpld 3.4.0 и более ранние версии.
Как работала ошибка
При суммировании сумм по множеству ордеров из книги заявок платёжный движок использовал 64-битное целое число без проверки переполнения. Когда сумма превышала максимум, значение «оборачивалось» и превращалось в малое число — примерно как одометр, который после предельного пробега возвращается к нулю.
В итоге владельцы ордеров получали полные суммы, а покупатель платил лишь «обёрнутую» величину. Разница становилась новым XRP, который можно было потратить.
Встроенная защита не сработала. Инвариант «no XRP created», призванный отслеживать появление монет из ниоткуда, считал в той же арифметике и переполнялся точно так же, поэтому проблему не фиксировал.
Кто нашёл уязвимость
О баге сообщили 22 сентября 2026 года через программу bug bounty XRPL. Исследователи Кейден Ляо (Cayden Liao) и Veria AI предоставили proof of concept. Команда RippleX воспроизвела атаку на изолированном сервере и подтвердила, что созданный XRP можно потратить в следующей транзакции. После этого серьёзность проблемы повысили с уровня Major до critical.
Ляо заявил в соцсети X 11 октября, что их ИИ-агент нашёл дефект, позволявший создать около 18 трлн XRP одной транзакцией. Это примерно в 184 раза больше целевого предложения в 100 млрд XRP. За находку выплатили максимальную награду программы — $250 000.
Что изменилось в коде
Исправление вошло в аварийный релиз xrpld 3.4.1 25 сентября 2026 года. Разработчики внесли три изменения:
- добавили проверки переполнения при суммировании сумм по ордерам;
- настроили завершение платежа при возможном переполнении с результатом «path dry» или как частичного платежа;
- перевели инвариант «no XRP created» на более широкий счётчик.
Исправление заработало сразу после обновления сервера. Впервые за более чем десять лет для этого не понадобился стандартный процесс голосования за поправку (amendment). В день релиза более 80% валидаторов из списка по умолчанию Unique Node List уже перешли на версию 3.4.1 или новее.
XRPL сообщил, что не нашёл никаких доказательств эксплуатации уязвимости в публичных сетях.
Случай показывает, что ИИ-агенты способны находить критические дефекты в коде, который более десяти лет оставался в продакшене. Награда в $250 000 стала максимальной в истории программы XRPL.
Мнение ИИ
С точки зрения машинного анализа данных, у этой ошибки есть исторический близнец. 15 августа 2010 года неизвестный создал около 184 млрд BTC при потолке эмиссии в 21 млн из-за переполнения при суммировании выходов, и сеть откатили хардфорком.
▼
Самые интересные и важные новости на нашем канале в Telegram