Een fout in de betalingsengine van de XRP Ledger die sinds 2015 aanwezig was, had het volgens ontwikkelaars mogelijk kunnen maken om besteedbare XRP (XRP) te creëren bovenop de vaste limiet van 100 miljard munten.
Belangrijkste punten:
- Een onderzoeker meldde de overflow‑bug op 22 september via het bugbountyprogramma van het netwerk, met behulp van een AI‑securitytool.
- Ontwikkelaars brachten drie dagen later een patch uit en sloegen daarbij voor het eerst in ruim tien jaar de gebruikelijke validator‑stemming over.
- Beheerders vonden geen enkel bewijs dat de fout ooit daadwerkelijk is misbruikt.
XRP‑vervalsingsbug
De beheerders van de XRP Ledger maakten de kwetsbaarheid op 9 oktober openbaar in een rapport, nadat een onderzoeker de fout op 22 september had gemeld via het bugbountyprogramma. RippleX, de ontwikkeltak van Ripple, bestempelde de bug als kritiek nadat het team de aanval succesvol had gereproduceerd. Er zijn volgens hen geen sporen dat de fout ooit is uitgebuit.
De fout zat in de betalingsengine, die ongecontroleerde 64‑bit‑rekenkunde gebruikte om op te tellen hoeveel een koper verschuldigd was wanneer één betaling in één keer meerdere orderboek‑orders vulde.
Honderden bewust verkeerd geprijsde orders konden dat totaal boven de maximale waarde duwen, waardoor het getal “terugrolde” naar een zeer klein bedrag. Verkopers werden dan volledig uitbetaald, terwijl de koper vrijwel niets hoefde te betalen. De ingebouwde veiligheidscontrole van het grootboek tegen het creëren van nieuwe XRP gebruikte dezelfde rekenlogica en merkte de vervalste coins daardoor helemaal niet op.
Ook interessant: GPT-6.1 Sol hielp Asana de kosten van agents 76 keer te verlagen, maar er zit een addertje onder het gras
Uitleg van Cayden Liao
Cayden Liao, mede‑oprichter security bij Veria Labs, schreef op X dat de AI‑agent van het bedrijf de bug opspoorde en direct een werkende exploit bouwde. Volgens zijn berekening had één transactie ongeveer 18 biljoen XRP kunnen creëren. Hij vermoedt dat de fout zo lang onopgemerkt bleef omdat die „twee bugs aaneenrijgt die op zichzelf slechts als laag risico zouden worden ingeschat”.
Liao meldde dat Ripple Veria de maximale bounty van 250.000 dollar uitkeerde. J. Ayo Akinyele, hoofd engineering bij RippleX, zei dat het team zijn inzet op AI‑ondersteund speurwerk naar bugs en formele verificatie gaat uitbreiden, en stelde dat AI „fundamenteel verandert hoe snel kwetsbaarheden kunnen worden ontdekt”.
Noodpatch voor XRPL
De patch werd op 25 september uitgebracht in xrpld‑versie 3.4.1, drie dagen na de melding. Meer dan 80% van de vertrouwde validators draaide de update nog diezelfde dag. De wijziging werd doorgevoerd zonder de gebruikelijke amendement‑procedure van twee weken – voor het eerst in meer dan tien jaar. Volgens de ontwikkelaars zou publicatie van de open‑sourcepatch volgens de normale route aanvallers wekenlang zicht hebben gegeven op de fout, nog vóórdat de wijziging actief werd.
In 2010 zorgde een overflow‑bug in Bitcoin (BTC) er in één transactie voor dat er meer dan 184 miljard coins werden gecreëerd, voordat ontwikkelaars het probleem binnen enkele uren repareerden en de blockchain forkten om de extra munten ongedaan te maken. Zcash (ZEC) moest dit jaar eveneens in allerijl een vervalsingskwetsbaarheid dichten; dat voorval drukte de koers van de token fors omlaag.
Lees ook: Franse cryptobeleggers riskeren tot 10.000 euro boete voor niet‑aangegeven wallets
