XRP Ledger corrige un desbordamiento crítico que podía crear nuevos XRP

Los desarrolladores de XRP Ledger han revelado y corregido una vulnerabilidad crítica del motor de pagos que podía crear XRP gastables de la nada. La solución llegó con xrpld 3.4.1, publicado el 25 de septiembre de 2026. El informe público del 9 de octubre afirma que no se encontraron pruebas de explotación en ninguna red pública.

Cómo podía funcionar la vulnerabilidad

El fallo estaba en una suma de enteros de 64 bits sin control de desbordamiento. Un pago preparado podía consumir cientos de ofertas anómalas: cada importe de XRP era válido por separado, pero el total superaba el límite del entero y volvía a un número pequeño.

Los propietarios de las ofertas recibirían los importes completos, mientras el comprador pagaría solo el total reducido tras el desbordamiento. La diferencia se convertiría en XRP nuevos y gastables. Los lectores pueden consultar el mercado spot XRP/USDT y el mercado perpetuo XRPUSDT verificados en OrangeX.com.

Por qué no lo detuvieron las comprobaciones

XRPL ya tenía una invariante que impide que una transacción cree XRP. Sin embargo, esa comprobación sumaba los cambios de saldo con un contador similar de 64 bits, se desbordaba de la misma forma y veía solo una comisión normal. La comprobación por cuenta tampoco servía si los XRP nuevos se distribuían entre cientos de cuentas.

El código afectado se remonta al motor de pagos escrito en 2015. La actividad normal no podía activar el escenario por accidente: requería cientos de ofertas con precios irreales y un pago diseñado para consumirlas todas a la vez.

Qué cambió en xrpld 3.4.1

La nueva versión comprueba el desbordamiento al sumar importes entre ofertas y al combinar varios caminos de pago. Si el total excedería el límite, el camino falla de forma segura y no se crea XRP. La invariante usa ahora un contador más amplio y también se reforzaron otras agregaciones de saldos.

La corrección se activa al actualizar el servidor, sin esperar el proceso habitual de enmienda. Los desarrolladores explicaron que la gravedad justificaba la decisión: publicar el código y esperar semanas habría dejado el método visible y todavía utilizable. El 25 de septiembre, más del 80% de los validadores de la lista de confianza predeterminada ya ejecutaba la versión protegida.

Los operadores deben usar xrpld 3.4.1 o posterior. Para ampliar información, visite las noticias de criptomonedas de OrangeX.com y el Centro de Confianza de OrangeX.com para recursos oficiales de seguridad.

OrangeX.com Analysis

La conclusión inmediata es que la vía de creación de XRP descrita públicamente está cerrada y no hay explotación detectada. El caso demuestra cómo una misma suposición aritmética puede anular la lógica de pago y una invariante de seguridad. El contador más amplio aporta una barrera independiente.

La incertidumbre restante es probatoria: no encontrar pruebas no demuestra de forma absoluta que nunca ocurrió. Aun así, el patrón tan artificial debería facilitar la revisión histórica. Conviene seguir las auditorías posteriores y la adopción de versiones compatibles. Este análisis no anticipa la dirección del precio de XRP.