RippleX, команда инженеров и разработчиков программного обеспечения Ripple, исправила критическую уязвимость в XRP Ledger (XRPL).
Примечательно, что эта уязвимость могла позволить злоумышленникам создать около 18,45 триллионов XRP за одну транзакцию, потенциально нарушая первоначальный лимит количества токенов сети в 100 миллиардов.
Исследователи американского стартапа по кибербезопасности Veria Labs обнаружили уязвимость с помощью агента безопасности на базе искусственного интеллекта, который разработал работающий эксплойт в локальной тестовой среде. Уязвимость оставалась незамеченной в коде обработки платежей XRPL с 2015 года.
В отчете от 12 октября исследователи предупредили, что эта уязвимость могла поставить под угрозу заявленную рыночную стоимость XRP в 94 миллиарда долларов. Уязвимость заключалась в переполнении целых чисел в платежной системе XRPL. Когда транзакция обрабатывала несколько заказов на децентрализованный обмен, программное обеспечение могло неправильно рассчитать общую сумму XRP, необходимую для их расчета.
Это позволило продавцам получить полную сумму, связанную с их заказами, в то время как с покупателя взималась значительно меньшая плата. Вторая арифметическая ошибка в механизме защиты реестра может помешать отклонению транзакции.
По оценкам Veria Labs, одна успешная транзакция может создать более чем в 184 раза больше первоначального количества XRP XRPL. Исследователи также заявили, что атака может повториться при правильных условиях.
«Злоумышленник мог создать расходуемые XRP, значительно превышающие общий объем запасов за одну проверенную транзакцию», заявила Veria Labs.
Фирма сообщила об уязвимости 22 сентября 2026 года. Исправление было добавлено на следующий день, а экстренная версия программного обеспечения под названием 3.4.1 вышла 25 сентября.
Ответ обошел стандартный процесс внесения изменений в XRPL, который обычно требует поддержки более чем 80 % доверенных валидаторов в течение двух недель.
Для контекста: разработчики выбрали немедленное обновление программного обеспечения, поскольку публикация исправления во время ожидания обычного процесса утверждения могла бы раскрыть уязвимость для злоумышленников до того, как сеть будет полностью защищена. В раскрытии говорится, что более 80% валидаторов по умолчанию были обновлены в день выпуска.
Это сообщение последовало за отдельным инцидентом безопасности в августе, в ходе которого злоумышленник украл около 200 000 долларов США из кросс-чейн моста tx XRPL. В атаке участвовало программное обеспечение, которое неправильно распознавало транзакции как депозиты, хотя соответствующий XRP не достиг резервов моста.
Оператор моста впоследствии остановил работу службы и устранил уязвимость.
Тем не менее, в воскресенье разработчики XRPL объявили о планах усилить тестирование безопасности за счет обязательного повторного тестирования исправленных уязвимостей перед их выпуском и расширенного обнаружения ошибок с помощью искусственного интеллекта.
«Вместе с RippleX и сообществом мы обеспечим защиту XRP Ledger от таких уязвимостей. Это означает радикальное применение формальной проверки и состязательного тестирования искусственного интеллекта, тесное сотрудничество с исследователями безопасности и усиление программы вознаграждения за ошибки». Они заявили на X.
