Een fout in de betalingsengine van de XRP Ledger die teruggaat tot 2015 had aanvallers in staat kunnen stellen uit te geven XRP (XRP) te creëren bovenop de vaste limiet van 100 miljard tokens, zo melden ontwikkelaars.
Belangrijkste punten:
- Een onderzoeker met een AI-beveiligingstool meldde de overflow-bug op 22 september via het bugbountyprogramma van het netwerk.
- Ontwikkelaars brachten drie dagen later een patch uit en sloegen daarbij voor het eerst in meer dan tien jaar de gebruikelijke validatorstemming over.
- De beheerders hebben geen bewijs gevonden dat de fout ooit is uitgebuit.
Bug voor vervalsen van XRP
De beheerders van de XRP Ledger maakten de kwetsbaarheid op 9 oktober openbaar in een rapport, waarin ze uitlegden dat een onderzoeker het lek op 22 september had aangemeld via het bugbountyprogramma. RippleX, de ontwikkeltak van Ripple, bestempelde het probleem als kritiek nadat het team de aanvalsscenario’s had weten te reproduceren. Er zijn volgens hen geen sporen gevonden van daadwerkelijk misbruik.
De fout zat in de betalingsengine, die onbeschermde 64‑bit‑berekeningen gebruikte om op te tellen hoeveel een koper verschuldigd was als één betaling in één keer meerdere orderboek‑orders vulde.
Door honderden bewust verkeerd geprijsde orders in te dienen, kon dat totaal boven de maximale waarde uitkomen en ‘overlopen’ naar een heel klein getal. Verkopers kregen dan volledig uitbetaald, terwijl de koper vrijwel niets hoefde te betalen. De interne controle van de ledger op de creatie van nieuwe XRP gebruikte dezelfde rekenmethode en zag de vervalste coins daardoor volledig over het hoofd.
Lees ook: GPT-6.1 Sol hielp Asana-agentkosten 76 keer verlagen, maar er zit een addertje onder het gras
Uitleg van Cayden Liao
Cayden Liao, medeoprichter security bij Veria Labs, schreef op X dat de AI‑agent van zijn bedrijf de bug ontdekte en er een werkende exploit voor bouwde. Volgens zijn berekening had één transactie circa 18 biljoen XRP kunnen creëren. Hij vermoedt dat de fout zo lang onder de radar bleef omdat die „twee bugs aaneenrijgt die op zichzelf van lage ernst zouden zijn”.
Liao zegt dat Ripple Veria de maximale bounty van 250.000 dollar heeft uitbetaald. J. Ayo Akinyele, hoofd engineering bij RippleX, kondigde aan het gebruik van AI‑ondersteunde bugjacht en formele verificatie verder op te schalen en stelde dat AI „de snelheid waarmee kwetsbaarheden worden gevonden fundamenteel verandert”.
Noodpatch voor XRPL
De patch verscheen op 25 september in xrpld‑versie 3.4.1, drie dagen na de melding. Meer dan 80% van de vertrouwde validators draaide die versie nog diezelfde dag, waarna de wijziging inging zonder de gebruikelijke amendementprocedure van twee weken – iets wat in meer dan tien jaar niet was voorgekomen. Ontwikkelaars verdedigden die uitzonderingsroute door te wijzen op het risico dat aanvallers de bug wekenlang hadden kunnen bestuderen als de open‑source code eerst via het normale proces was gepubliceerd.
In 2010 zorgde een overflow‑bug in Bitcoin (BTC) ervoor dat er in één transactie meer dan 184 miljard coins werden gecreëerd, voordat ontwikkelaars het probleem binnen enkele uren verholpen en de keten forkten om de extra coins ongedaan te maken. Zcash (ZEC) moest dit jaar eveneens hals over kop een vervalsingslek dichten; die schrikreactie drukte de koers van de token stevig omlaag.
Lees hierna: Franse cryptobeleggers riskeren tot 10.000 euro boete voor niet‑aangegeven wallets
