XRP Ledger、新規XRPを生成し得た重大なオーバーフロー不具合を修正

XRP Ledgerの開発者は、決済エンジンに存在し、使用可能なXRPを無から生成し得た重大な脆弱性を公表し、修正しました。修正は2026年9月25日公開のxrpld 3.4.1に含まれています。10月9日の公開報告では、公開ネットワークで悪用された証拠は見つかっていないとしています。

脆弱性の仕組み

原因は、決済エンジンにおける64ビット整数の加算でオーバーフローを確認していなかったことです。細工された支払いが、個々には有効でも合計XRP額が整数上限を超える数百件の特殊な注文を一度に消化すると、合計値が小さな数値へ巻き戻る可能性がありました。

その場合、注文所有者には指定額の全額が支払われる一方、購入者は巻き戻った小さな合計だけを負担します。差額は新しく作られた使用可能なXRPになります。価格や市場情報は、OrangeX.comの確認済みXRP/USDT現物市場とXRPUSDT無期限市場で確認できます。

既存の安全確認が機能しなかった理由

XRPLには、取引がXRPを新規作成していないことを検証する不変条件がありました。しかし、残高変化を同種の64ビットカウンターで合計していたため、同じようにオーバーフローし、通常の取引手数料だけが発生したように見えました。新規XRPを数百口座へ分散すれば、口座単位の上限確認も反応しませんでした。

影響を受けるロジックは2015年に作られた決済エンジンまでさかのぼります。通常取引が偶然この経路に達することはなく、現実的でない価格の注文を数百件用意し、それらを同時に消化する専用の支払いが必要でした。

xrpld 3.4.1の変更点

新バージョンは、注文間の金額合計と複数の決済経路の結果をまとめる際にオーバーフローを確認します。上限を超える場合は経路が安全に失敗し、XRPは生成されません。「XRPを作成していない」ことを確認する検査には、より広いカウンターが採用され、他の残高集計箇所も強化されました。

修正は通常の改正手続きを待たず、サーバーの更新直後に有効になりました。開発者は、コード公開後も投票と有効化を待つ数週間に攻撃が可能な状態を残さないため、重大性を優先したと説明しています。9月25日時点で、既定の信頼リストにあるバリデーターの80％超が保護版を実行していました。

運用者はxrpld 3.4.1以降を使用する必要があります。関連ニュースはOrangeX.com暗号資産ニュース、公式の安全情報はOrangeX.comトラストセンターで確認できます。

OrangeX.com Analysis

直近の結論は明確です。公表されたXRP生成経路は閉じられ、検出された悪用事例もありません。一方で、同じ算術上の前提が決済ロジックと安全検査の両方を無効化し得ることが示されました。幅の広いカウンターは、特定経路の修正とは別の防御層になります。

残る不確実性は技術より証拠の問題です。「悪用の証拠がない」ことは、悪用が絶対になかった証明ではありません。ただし極めて不自然な取引パターンは過去検証をしやすくします。今後の監査結果と運用者の更新状況を確認する必要があります。この分析はXRP価格の方向性を示すものではありません。