O XRP Ledger corrigiu uma vulnerabilidade de overflow de inteiro presente no código desde 2015 que, em teoria, permitia criar até 18 trilhões de XRP em uma única transação, 184 vezes a oferta total da moeda.
A falha foi reportada em 22 de setembro, corrigida no dia seguinte e o patch xrpld 3.4.1 foi disponibilizado em 25 de setembro. A empresa que identificou o problema recebeu US$ 250.000 pelo programa de recompensas por bugs.
A seguir:
- Como o bug funcionava e por que ficou oculto por mais de uma década
- O que a RippleX confirmou sobre eventuais explorações da falha
- Quais medidas a XRP Ledger Foundation planeja adotar para evitar novos incidentes
O mecanismo por trás da falha é tecnicamente específico: ao somar valores de pagamentos que consumiam muitas ofertas do livro de ordens simultaneamente, o saldo poderia ‘estourar’ e retornar a um número pequeno, criando XRP do nada.
A RippleX verificou que não há evidências de exploração e que a oferta em circulação permanece em aproximadamente 99,986 bilhões de XRP, dentro do limite histórico.
Por que a falha ficou invisível por tanto tempo
A vulnerabilidade exigia condições muito específicas para ser ativada.
“Nenhum pagamento normal chega perto de acioná-lo. Foram necessárias centenas de operações deliberadamente construídas” para reproduzir o cenário de exploração, segundo a XRP Ledger Foundation.
Esse nível de complexidade explica a longevidade do bug: transações comuns jamais chegavam perto do limiar crítico. As próprias proteções internas do ledger também não sinalizaram qualquer anomalia, o que fez a falha passar por revisões de código ao longo de mais de dez anos sem ser detectada.
A identificação veio por meio de análise assistida por inteligência artificial. O uso de IA para varredura adversarial de código está na raiz da descoberta, o que levou a fundação a acelerar a adoção da técnica internamente.
Oferta intacta e resposta coordenada
Após a notificação, a equipe de desenvolvimento isolou o problema em menos de 24 horas e liberou o patch xrpld 3.4.1 em 25 de setembro.
A RippleX rastreou o histórico de transações e não encontrou nenhuma movimentação compatível com exploração da falha. Os cerca de 99,986 bilhões de XRP em circulação estão dentro do intervalo esperado, e o limite de 100 bilhões, definido na criação da rede, permanece íntegro.
O pagamento de US$ 250.000 à empresa descobridora segue a lógica dos programas de bug bounty que redes e protocolos vêm formalizando como camada de segurança complementar às auditorias internas.
Próximos passos da XRP Ledger Foundation
A fundação anunciou um conjunto de medidas preventivas para reduzir o risco de novos incidentes do mesmo tipo. A direção foi resumida em declaração oficial: a entidade planeja “aplicar de forma agressiva testes adversariais com IA, implementar verificação formal e fortalecer seu programa de recompensas por bugs”, acrescentando que “você ouvirá muito mais sobre isso à medida que avançamos.”
A verificação formal consiste em provar matematicamente que determinadas propriedades do código nunca são violadas, independentemente da entrada. Combinada com testes adversariais baseados em IA, a abordagem cobre cenários que revisões manuais e testes convencionais tendem a deixar passar, especialmente em sistemas de pagamento com livros de ordens complexos como o XRP Ledger.
O episódio reacende o debate sobre vulnerabilidades de longa data em redes de blockchain maduras. O XRP Ledger opera há mais de uma década e processa pagamentos institucionais e de varejo em escala global, o que torna a integridade da oferta um ponto sensível para a confiança de custodiantes.
Perguntas frequentes
Meu saldo de XRP foi afetado pela falha?
A RippleX confirmou que não há registros de exploração da vulnerabilidade. A oferta total em circulação permanece em aproximadamente 99,986 bilhões de XRP, sem criação não autorizada de tokens.
Preciso atualizar algum software ou carteira por causa do patch?
O patch xrpld 3.4.1 é voltado para operadores de nós validadores do XRP Ledger. Usuários que mantêm XRP em carteiras pessoais ou em exchanges não precisam tomar nenhuma ação: a correção atua na camada do protocolo, não no lado do usuário.
Como a falha foi encontrada agora, depois de mais de dez anos?
A empresa descobridora utilizou análise assistida por inteligência artificial, capaz de gerar e testar centenas de combinações de transações adversariais que não ocorrem em uso normal. Esse tipo de varredura automatizada é o que a XRP Ledger Foundation planeja intensificar daqui em diante.
