Розробники XRP Ledger (XRPL) оприлюднили звіт про дві серйозні вразливості у програмному забезпеченні xrpld, здатні порушити стабільність мережі та відкрити шлях до випуску XRP поза реальним забезпеченням. Обидва дефекти закрили в оновленні 3.4.1, яке вийшло 25 вересня.
Представники команди зазначили, що жодних слідів реальної експлуатації вразливості переповнення в публічних мережах не зафіксовано. Друга вада, пов'язана з пакетними транзакціями, також не встигла вплинути на основну мережу — відповідне протокольне оновлення на той момент ще не активували.
Перша вразливість: можливість створення XRP без реального забезпечення
Фахівці виявили цю проблему 22 вересня 2026 року завдяки програмі винагород за пошук багів XRPL. Йшлося про переповнення цілого числа у платіжному механізмі, яке теоретично дозволяло зловмиснику згенерувати XRP практично з нуля, маніпулюючи спеціально сконструйованими ордерами в книзі заявок та одним-єдиним платежем.
Під час обробки великої кількості ордерів — сотень одночасно — система могла некоректно підсумовувати обсяги XRP: надто велике число перетворювалося на значно менше замість того, щоб викликати помилку. При цьому власники ордерів отримували свої повні суми, тоді як покупцю доводилося платити значно менше від реальної вартості. Стандартний механізм перевірки, покликаний не допускати емісію нових XRP поза правилами, також пропускав цю аномалію через подібну ваду переповнення.
За оцінками команди розробників, ця вада могла існувати ще з 2015 року — моменту запровадження чинного платіжного механізму. Виправлення з'явилося у xrpld 3.4.1: тепер система відстежує переповнення під час обчислення сум і блокує некоректні операції. Додатково посилили й перевірку балансів.
Друга вразливість: загроза узгодженості мережі через пакетні транзакції
Другу проблему виявили в ході повторного аналізу результатів заходу Sherlock Attackathon. 18 вересня Деніс Енджелл з XRPL Foundation підтвердив, що раніше запроваджене виправлення не усунуло ваду повністю. Згодом Маюкха Вадарі з RippleX з'ясувала, що помилка здатна спричиняти розбіжності між різними версіями серверного програмного забезпечення.
Проблема крилася в механізмі Batch, що дає змогу об'єднувати до восьми транзакцій в одну пакетну операцію. Сервер не контролював, чи обгорнута кожна внутрішня транзакція в обов'язкове поле RawTransaction. Через це різні версії xrpld могли по-різному трактувати валідність однієї й тієї самої операції, а за певних обставин це загрожувало зупинкою підтвердження нових реєстрів у мережі.
Команда усунула цю ваду через оновлення fixBatchV1_2, активоване в основній мережі 9 жовтня. До моменту активації скористатися цією проблемою для впливу на Mainnet було неможливо, оскільки функція BatchV1_1 на той час залишалася вимкненою.
Обидва виправлення увійшли до складу xrpld 3.4.1. Команда повідомила також, що надалі планує повторно тестувати кожну усунену вразливість на кандидатах у нові релізи, перш ніж остаточно закривати відповідні звіти про помилки.
Протягом 2026 року Ripple Labs вже неодноразово працювала над посиленням захисту та розширенням функціоналу XRP Ledger. Так, у березні дослідники RippleX представили підхід до конфіденційних переказів для багатофункціональних токенів, покликаний краще захищати дані користувачів.
У квітні компанія анонсувала багатофазний план підготовки XRPL до викликів квантових обчислень, передбачивши повний перехід на постквантову криптографію до 2028 року. А в жовтні бразильська CSD BR розпочала перший етап співпраці з Ripple Labs для токенізації часток інвестиційних фондів BTG Pactual на базі XRPL.
