XRP Ledger dicht bug die 180 keer de totale voorraad had kunnen bijmunten

Er had ongeveer 18 biljoen XRP$1,29▼3,67% gecreëerd kunnen worden in één enkele transactie door een overflow-bug in de betaalengine van de XRP Ledger, zo blijkt uit het rapport van The Block. Door het lek had de hoeveelheid besteedbare XRP de limiet van 100 miljard tokens van het netwerk kunnen overschrijden, een limiet die werd vastgesteld toen bij de lancering van de ledger in 2012 alle 100 miljard tokens werden aangemaakt.

RippleX loste het probleem op 25 september op met xrpld-versie 3.4.1, drie dagen nadat AI-beveiligingsstartup Veria Labs het op 22 september had gemeld. De patch werd uitgerold zonder de gebruikelijke amendementsstemming van de XRP Ledger, vanwege de ernst van de kwetsbaarheid.

De rekensom is schril: 18 biljoen XRP gedeeld door de totale voorraad van 100 miljard XRP komt neer op 180 keer de volledige voorraad bij lancering. Dat is de potentiële bijmunting die in de berichtgeving wordt beschreven, geen bevestigde uitgifte. Uit de beschikbare informatie blijkt dat de bug uitgebuit had kunnen worden; niet dat een aanvaller daadwerkelijk XRP heeft gecreëerd.

Het lek zat al sinds 2015 in de code, waardoor de kwetsbaarheid ongeveer 11 jaar bestond voordat deze werd verholpen. Veria Labs ontving de maximale beloning van het programma, $250.000. Cayden Liao, een van de oprichters op het gebied van beveiliging bij Veria Labs, zei dat de kwetsbaarheid bestond uit een combinatie van twee bugs die individueel laag risico zouden hebben gehad, wat volgens hem de reden was waarom het probleem onopgemerkt bleef.

De reactie volgde snel nadat de melding binnenkwam. RippleX bracht drie dagen later de fix uit, en meer dan 80% van de validators op de standaard Unique Node List draaide deze al op 25 september.

De bescherming ging niet op één netwerkbreed moment in werking. De fix werd van kracht naarmate elke server werd geüpgraded, een aanpak die wordt omschreven als de eerste van dit soort uitrol in meer dan 10 jaar aan amendementen voor de XRP Ledger. De broncode voor versie 3.4.1 werd volgens het rapport ongeveer twee weken na de binaries gepubliceerd.

Voor validators was het directe gevolg operationeel: het upgraden naar versie 3.4.1 was de stap die de bescherming op elke server activeerde. Voor XRP-houders ging het om de integriteit van de voorraad. De limiet van 100 miljard van de ledger had in één transactie overschreden kunnen worden voordat de patch de servers van het netwerk bereikte; na een upgrade beschikte die server over de fix.

RippleX-engineer Mayukha Vadari zei: “AI heeft de zaken veranderd. Je kunt een patch voor een kritieke bug niet meer stiekem meenemen in een routinematige publieke release, het wordt onmiddellijk opgemerkt en gereverse-engineerd.” J. Ayo Akinyele, Head of Engineering bij RippleX, zei: “AI verandert fundamenteel hoe snel kwetsbaarheden ontdekt kunnen worden.” Liao van Veria noemde de betaling van $250.000, voor zover bij het bedrijf bekend, de grootste ooit uitgekeerde beloning voor een kwetsbaarheid die volledig door een AI-agent werd gevonden.

Dezelfde berichtgeving plaatst de onthulling naast twee andere AI-ondersteunde beveiligingsincidenten: een bug in de Coldcard-wallet die in verband werd gebracht met de diefstal van minstens 1.367 BTC$80.965,00▼1,62%, en kwetsbaarheden in Core Lightning die Bitcoin-nodebeheerders dwongen hun verbinding te verbreken. Die gebeurtenissen worden genoemd als eerdere incidenten sinds juli, al biedt de aangeleverde informatie geen vergelijkbaar exploit voor de XRP Ledger.

De lezing van de redactie is beperkter en ernstiger dan het tijdpad van de patch: de fix sloot het directe pad voor bijmunting, maar een kritieke fout die sinds 2015 standhield, roept een gedocumenteerde vraag op over hoe grondig historische code is gecontroleerd. Het feitenoverzicht wijst niet op een formele, ledger-brede audit van de XRP Ledger naar vergelijkbare onontdekte bugs, en geeft geen details over of een dergelijke audit momenteel loopt.

XRP noteerde $1,41, een stijging van 0,8% over 24 uur, volgens de koersnotering van CoinGecko. Die beweging geeft marktcontext, maar is geen bewijs dat beleggers de kwetsbaarheid of de patch al hadden ingeprijsd.