RippleX, il team di ingegneria e sviluppo software di Ripple, ha corretto una vulnerabilità critica nel registro XRP (XRPL).
In particolare, la falla avrebbe potuto consentire agli aggressori di creare circa 18,45 trilioni di XRP in una singola transazione, potenzialmente superando il limite iniziale di 100 miliardi di token della rete.
I ricercatori della startup statunitense di sicurezza informatica Veria Labs hanno scoperto la falla utilizzando un agente di sicurezza basato sull'intelligenza artificiale, che ha sviluppato un exploit funzionante in un ambiente di test locale. La vulnerabilità era rimasta inosservata nel codice di elaborazione dei pagamenti di XRPL dal 2015.
In un rapporto del 12 ottobre, i ricercatori avevano avvertito che la falla avrebbe potuto mettere a rischio la capitalizzazione di mercato di XRP, stimata a 94 miliardi di dollari. La vulnerabilità consisteva in un overflow di interi nel motore di pagamento di XRPL. Quando una transazione elaborava più ordini di scambio decentralizzati, il software poteva calcolare in modo errato la quantità totale di XRP necessaria per regolarli.
Ciò consentiva ai venditori di ricevere l'intero importo relativo ai loro ordini, mentre all'acquirente veniva addebitato un importo notevolmente inferiore. Un secondo errore aritmetico nel meccanismo di protezione dell'offerta del registro poteva quindi impedire il rifiuto della transazione.
Veria Labs ha stimato che una singola transazione andata a buon fine potrebbe creare una quantità di XRP superiore di oltre 184 volte all'offerta originale di XRPL. I ricercatori hanno anche affermato che l'attacco potrebbe essere ripetuto nelle giuste condizioni.
"Un malintenzionato avrebbe potuto creare XRP spendibili in quantità di gran lunga superiore all'offerta totale in una singola transazione convalidata", ha dichiarato Veria Labs.
L'azienda ha segnalato la vulnerabilità il 22 settembre 2026. La correzione è stata integrata il giorno successivo e la versione di emergenza del software, denominata 3.4.1, è stata rilasciata il 25 settembre.
La risposta ha aggirato la procedura standard di modifica di XRPL, che in genere richiede il supporto di oltre l'80% dei validatori attendibili nell'arco di due settimane.
Per contestualizzare, gli sviluppatori hanno optato per un aggiornamento software immediato perché la pubblicazione della patch in attesa del normale processo di approvazione avrebbe potuto esporre la vulnerabilità agli aggressori prima che la rete fosse completamente protetta. La divulgazione afferma che oltre l'80% dei validatori predefiniti ha effettuato l'aggiornamento il giorno del rilascio.
La divulgazione di questa informazione fa seguito a un altro incidente di sicurezza avvenuto ad agosto, in cui un hacker ha rubato circa 200.000 dollari dal bridge cross-chain tx XRPL. L'attacco ha coinvolto un software che ha erroneamente riconosciuto le transazioni come depositi, anche se i corrispondenti XRP non avevano ancora raggiunto le riserve del bridge.
Il gestore del ponte ha successivamente interrotto il servizio e risolto la vulnerabilità.
Detto questo, domenica gli sviluppatori di XRPL hanno annunciato l'intenzione di rafforzare i test di sicurezza attraverso la ripetizione obbligatoria dei test sulle vulnerabilità corrette prima del rilascio e l'ampliamento del rilevamento dei bug assistito dall'intelligenza artificiale.
"Insieme a RippleX e alla comunità, garantiremo che il registro XRP sia protetto da tali vulnerabilità. Ciò significa applicare in modo radicale la verifica formale e i test avversari basati sull'intelligenza artificiale, collaborare strettamente con i ricercatori nel campo della sicurezza e rafforzare il programma di bug bounty", hanno dichiarato su X.