Команда блокчейна XRP Ledger (XRPL) раскрыла информацию о двух уязвимостях в программном обеспечении xrpld. Ошибки могли нарушить работу сети и создать возможность выпуска XRP без соответствующего обеспечения. Обе уязвимости устранили в версии xrpld 3.4.1, вышедшей 25 сентября.
Разработчики не нашли свидетельств эксплуатации уязвимости, связанной с переполнением целого числа, в публичных сетях. Вторая проблема, затрагивающая пакетные транзакции, не повлияла на основную сеть, поскольку соответствующее обновление протокола на тот момент еще не активировали.
По данным команды, первую уязвимость выявили 22 сентября 2026 года в рамках программы вознаграждений XRPL за обнаружение ошибок. Она была связана с переполнением целого числа в платежном механизме. При определенных условиях злоумышленник мог создать XRP из ничего, используя специально сформированные предложения в книге ордеров и одну платежную транзакцию.
По оценке разработчиков, ошибка могла присутствовать в коде с 2015 года — момента появления действующего платежного механизма. В версии xrpld 3.4.1 добавили проверку переполнения при расчете сумм, а некорректные операции теперь отклоняются. Кроме того, команда усилила механизмы проверки балансов.
Вторую уязвимость обнаружили при повторном анализе результатов Sherlock Attackathon. 18 сентября представитель XRPL Foundation Денис Энджелл подтвердил, что ранее выпущенное исправление не полностью устраняло проблему. Впоследствии Маюкха Вадари из RippleX установила, что ошибка могла приводить к расхождениям в поведении разных версий серверного программного обеспечения.
Уязвимость затрагивала механизм Batch, позволяющий объединять до восьми транзакций в один пакет.
Оба исправления включили в релиз xrpld 3.4.1. В дальнейшем разработчики намерены повторно тестировать каждую устраненную уязвимость на новых версиях ПО.
