XRP Ledger устранил критическое переполнение, позволявшее создавать XRP

Разработчики XRP Ledger раскрыли и устранили критическую уязвимость платежного движка, которая могла создавать расходуемые XRP из ничего. Исправление вошло в xrpld 3.4.1, выпущенный 25 сентября 2026 года. В отчете от 9 октября сказано, что признаков эксплуатации в публичных сетях не обнаружено.

Как могла работать уязвимость

Причиной было непроверяемое сложение 64-битных целых чисел. Специально созданный платеж мог поглотить сотни необычных заявок: сумма XRP в каждой заявке была допустимой, но общий итог превышал предел типа данных и превращался в небольшое число.

Владельцы заявок получали полные суммы, а покупатель платил лишь итог после переполнения. Разница становилась новыми расходуемыми XRP. Следить за активом можно через проверенные страницы спотового рынка XRP/USDT и бессрочного рынка XRPUSDT на OrangeX.com.

Почему защита не сработала

В XRPL уже существовала проверка, запрещающая транзакции, создающие XRP. Но она суммировала изменения балансов тем же 64-битным счетчиком и переполнялась аналогично, принимая результат за обычную комиссию. Ограничение баланса отдельного аккаунта тоже не помогало, поскольку новые XRP можно было распределить между сотнями аккаунтов.

Уязвимая логика находилась в платежном движке с 2015 года. Обычная торговля не могла случайно запустить этот сценарий: требовались сотни заявок с нереалистичными ценами и специально собранный платеж, поглощающий их одновременно.

Что изменилось в xrpld 3.4.1

Версия 3.4.1 проверяет переполнение при суммировании заявок и объединении результатов нескольких платежных путей. При угрозе переполнения путь завершается безопасно, а XRP не создаются. Контроль «XRP не создаются» теперь использует более широкий счетчик; дополнительно усилены другие участки агрегации балансов.

Исправление начинает действовать сразу после обновления сервера, без обычного процесса поправок. Разработчики объяснили это критичностью: публикация кода при отложенной активации оставила бы уязвимость открытой на недели. К 25 сентября защищенную версию использовали более 80% валидаторов из стандартного доверенного списка.

Операторам необходимо использовать xrpld 3.4.1 или новее. Другие материалы доступны в разделе криптоновостей OrangeX.com, а официальные рекомендации по защите — в Центре доверия OrangeX.com.

OrangeX.com Analysis

Главный вывод: опубликованный путь создания XRP закрыт, а выявленных случаев эксплуатации нет. Инцидент показывает, что одна арифметическая ошибка способна одновременно обойти бизнес-логику и защитный инвариант. Более широкий счетчик создает независимый уровень защиты.

Оставшаяся неопределенность относится к доказательствам: отсутствие обнаруженной эксплуатации не является абсолютным доказательством ее невозможности. Однако искусственный рисунок транзакций должен облегчить ретроспективный анализ. Следует следить за результатами последующих аудитов и обновлением операторов. Это не прогноз цены XRP.