Cacat pada mesin pembayaran XRP Ledger yang sudah ada sejak 2015 berpotensi memungkinkan penyerang mencetak XRP (XRP) yang dapat dibelanjakan di luar batas suplai tetap 100 miliar koin, menurut para pengembang.
Poin Penting:
- Seorang peneliti yang memakai alat keamanan berbasis AI melaporkan bug overflow pada 22 September lewat program bug bounty jaringan.
- Pengembang merilis perbaikan tiga hari kemudian, untuk pertama kalinya dalam lebih dari satu dekade tanpa pemungutan suara validator.
- Pengelola jaringan tidak menemukan bukti bahwa celah ini pernah dieksploitasi.
Bug Pemalsuan XRP
Pengelola XRP Ledger mengungkap cacat ini dalam laporan kerentanan pada 9 Oktober, menyatakan bahwa seorang peneliti menandai isu tersebut melalui program bug bounty jaringan pada 22 September. RippleX, divisi pengembang milik Ripple, mengkategorikan bug ini sebagai kritis setelah berhasil mereplikasi skenario serangan. Tim tidak menemukan indikasi bahwa ada pihak yang pernah memanfaatkannya.
Cacat overflow ini berada di mesin pembayaran, yang menggunakan operasi matematika 64-bit tanpa pemeriksaan saat menghitung total kewajiban pembeli ketika satu transaksi pembayaran mengeksekusi banyak penawaran di order book sekaligus.
Ratusan penawaran yang sengaja salah harga dapat mendorong total tersebut melewati batas maksimum lalu berputar kembali menjadi angka yang sangat kecil. Akibatnya, penjual menerima pembayaran penuh, sementara pembeli membayar hampir tidak ada apa-apa. Mekanisme pemeriksaan internal ledger terhadap penerbitan XRP baru memakai aritmetika yang sama, sehingga gagal mendeteksi koin palsu tersebut.
Baca Juga: GPT-6.1 Sol Bantu Pangkas Biaya Agen Asana 76 Kali Lipat, Tapi Ini Risikonya
Penjelasan Cayden Liao
Cayden Liao, salah satu pendiri keamanan di Veria Labs, menulis di X bahwa agen AI perusahaanlah yang menemukan bug ini dan membangun eksploit yang berfungsi. Menurut perhitungannya, satu transaksi saja berpotensi “mencetak” sekitar 18 triliun XRP. Ia menduga celah tersebut lolos dari perhatian karena “merangkai dua bug yang masing-masing tampak berlevel rendah bila dilihat sendiri-sendiri.”
Liao menyebut Ripple membayar Veria bounty maksimum program, yakni 250.000 dolar AS. J. Ayo Akinyele, kepala rekayasa di RippleX, mengatakan timnya akan memperluas pemanfaatan perburuan bug berbantuan AI dan verifikasi formal, seraya menekankan bahwa AI “secara fundamental mengubah kecepatan penemuan kerentanan.”
Patch Darurat XRPL
Perbaikan dirilis melalui xrpld versi 3.4.1 pada 25 September, tiga hari setelah laporan masuk. Lebih dari 80% validator tepercaya telah menjalankan versi ini pada hari yang sama, dan perubahan diberlakukan tanpa pemungutan suara amandemen dua pekan seperti prosedur standar—suatu langkah yang belum pernah terjadi selama lebih dari satu dekade. Para pengembang berargumen bahwa merilis kode sumber terbuka lewat proses normal justru akan memberi petunjuk pada penyerang selama berminggu-minggu sebelum patch benar‑benar aktif.
Pada 2010, sebuah bug overflow di Bitcoin (BTC) pernah menciptakan lebih dari 184 miliar koin dalam satu transaksi, sebelum pengembang menambalnya dalam hitungan jam dan melakukan fork rantai untuk menghapus koin tersebut. Zcash (ZEC) juga sempat harus menambal celah pemalsuan tahun ini, yang memicu tekanan jual tajam pada tokennya.
Baca Berikutnya: Pemilik Kripto Prancis Bisa Kena Denda Hingga 10.000 Euro Jika Tidak Melaporkan Dompet
