Uma falha no mecanismo de pagamentos do XRP Ledger, ativa desde 2015, poderia ter permitido que um atacante criasse XRP (XRP) “do nada”, acima do limite máximo de oferta de 100 bilhões de unidades, segundo desenvolvedores.
Pontos-chave:
- Um pesquisador usando uma ferramenta de segurança com IA reportou o bug de overflow em 22 de setembro, via programa de recompensas do protocolo.
- Desenvolvedores lançaram uma correção três dias depois, ignorando pela primeira vez em mais de uma década a tradicional votação entre validadores.
- Responsáveis pela manutenção do código dizem não haver qualquer evidência de exploração da falha.
Bug de falsificação de XRP
Os mantenedores do XRP Ledger divulgaram a vulnerabilidade em um relatório de segurança em 9 de outubro, informando que um pesquisador a havia identificado em 22 de setembro por meio do programa de bug bounty da rede. A RippleX, braço de desenvolvimento da Ripple, classificou o problema como crítico após conseguir reproduzir o ataque. A equipe afirma não ter encontrado sinais de que a falha tenha sido usada na prática.
O erro estava no motor de pagamentos, que utilizava operações de 64 bits sem verificação para somar o valor devido por um comprador quando um único pagamento preenchia diversas ofertas do livro de ordens ao mesmo tempo.
Ao inserir centenas de ofertas propositalmente mal precificadas, seria possível forçar essa soma a ultrapassar o limite numérico e “dar a volta” para um valor muito pequeno. Nesse cenário, os vendedores receberiam integralmente, enquanto o comprador pagaria quase nada. O próprio mecanismo de segurança do ledger para bloquear a emissão de novos XRP utilizava a mesma aritmética, o que fez com que ignorasse completamente as moedas falsificadas.
Leia também: GPT-6.1 Sol ajudou a cortar em 76 vezes o custo dos agentes da Asana, mas há um porém
Cayden Liao explica
Cayden Liao, cofundador de segurança da Veria Labs, relatou no X que o agente de IA da empresa encontrou o bug e chegou a construir um exploit funcional. Segundo seus cálculos, uma única transação poderia ter cunhado cerca de 18 trilhões de XRP. Ele suspeita que a falha tenha passado despercebida por tanto tempo porque “combina duas brechas que, isoladamente, seriam de baixa gravidade”.
Liao afirmou que a Ripple pagou à Veria o valor máximo previsto no programa de recompensas, de US$ 250 mil. J. Ayo Akinyele, líder de engenharia da RippleX, disse que a equipe vai ampliar o uso de ferramentas de caça a bugs auxiliadas por IA e de verificação formal, destacando que a IA está “mudando fundamentalmente a velocidade com que vulnerabilidades podem ser descobertas”.
Patch de emergência no XRPL
A correção foi distribuída na versão 3.4.1 do xrpld em 25 de setembro, apenas três dias após o reporte. Mais de 80% dos validadores de confiança já rodavam a nova versão naquele mesmo dia, e a mudança entrou em vigor sem o tradicional processo de emenda de duas semanas — algo inédito em mais de uma década. Desenvolvedores argumentaram que seguir o rito normal de código aberto teria exposto o bug a potenciais atacantes por semanas, antes de a mitigação entrar em vigor.
Em 2010, um bug de overflow no Bitcoin (BTC) criou mais de 184 bilhões de moedas em uma única transação, até que os desenvolvedores corrigiram o problema em poucas horas e fizeram um fork para apagar as unidades extras. Mais recentemente, a Zcash (ZEC) também correu para corrigir uma falha de falsificação, episódio que derrubou fortemente o preço de seu token.
Próxima leitura: Detentores franceses de cripto podem dever até 10 mil euros por carteiras não declaradas
