XRP Ledger opravil chybu, která mohla vytvořit XRP z ničeho

Zpráva o zranitelnosti (Vulnerability Disclosure Report for xrpld 3.4.1) vyšla 9. října 2026 na blogu xrpl.org v rubrice Advisories. Popisuje chybu v platebním enginu XRP Ledgeru, tedy v části softwaru, která zpracovává platby přes vestavěnou decentralizovanou směnárnu. Logika, která sčítá hodnoty jednotlivých nabídek (offers), používala nekontrolované 64bitové sčítání, takže při dostatečně velkých hodnotách mohl součet přetéct a vyjít malý. Pojistka, která má u každé transakce ověřit, že nevzniklo žádné nové XRP, počítala stejnou aritmetikou, a přetečení proto neodhalila.

Podle zprávy byla chyba v kódu od roku 2015, kdy vznikl současný platební engine. Útočník by podle vývojářů mohl jedinou potvrzenou transakcí obejít pevnou zásobu. Stálo by ho to jen transakční poplatky a několik set XRP v rezervách účtů a nabídek, které se po odstranění těchto objektů vracejí. CoinDesk připomíná, že všech 100 miliard XRP vzniklo při spuštění sítě v roce 2012 a nové se nemají objevit.

Chybu nahlásili 22. září 2026 přes program odměn za nalezené chyby (bug bounty) výzkumník Cayden Liao a firma Veria AI. Nález měl původně stupeň Major, tým RippleX ho po reprodukci zvýšil na kritický. Výši odměny zpráva neuvádí.

Oprava doplnila kontrolu přetečení při sčítání nabídek i při spojování výsledků více platebních cest a kontrola invariantu nově používá širší čítač. Dne 25. září vyšla verze xrpld 3.4.1 (xrpld je nový název dřívějšího rippled) označená jako nouzové vydání k opravě bezpečnostně citlivých problémů v protokolu. Provozovatelé uzlů měli aktualizovat co nejdřív, zdrojový kód ale vývojáři kvůli citlivosti zveřejnili až později. Podle zprávy už v den vydání běželo na verzi 3.4.1 nebo novější přes 80 procent validátorů z výchozího seznamu důvěryhodných validátorů (UNL).

Změny ve zpracování transakcí procházejí na XRP Ledgeru obvykle hlasováním validátorů, takzvaným amendmentem. Tato oprava podle zprávy tímto procesem neprošla a platí od okamžiku, kdy uzel přejde na novou verzi; vývojáři to označují za první takový případ u změny zpracování transakcí.

Tatáž zpráva popisuje i druhou chybu, ve validaci obalu vnitřních transakcí typu Batch, nahlášenou 18. září 2026. Týkala se verzí xrpld 3.3.0 a 3.4.0 s amendmentem BatchV1_1, který v době nálezu na hlavní síti ještě nebyl aktivní. Ke zneužití by byla potřeba ručně sestavená binární transakce a podle vývojářů nedošlo ke ztrátě prostředků, úniku soukromých klíčů ani selhání konsenzu.

Opravu této chyby nese amendment fixBatchV1_2, který se spolu s BatchV1_1 aktivoval na hlavní síti 9. října 2026. Servery s verzí starší než 3.4.1 jsou od té doby blokované amendmentem a vypadnou ze synchronizace; všichni provozovatelé uzlů proto podle zprávy musí přejít na verzi 3.4.1 nebo novější.

Zpráva u chyby v platebním enginu neuvádí žádné ztráty ani zásah do účtů a držitelé XRP nemuseli nic dělat. Aktualizace se týkala jen provozovatelů vlastních uzlů a validátorů. Už v březnu 2026 vývojáři popsali dvě chyby v práci se sadami transakcí, opravené ve verzi rippled 3.0.0 z prosince 2025; jejich zneužití by vyžadovalo napadený validátor z výchozího seznamu.

Jak fungují sítě, na kterých kryptoměny běží, vysvětluje průvodce Co je blockchain; XRP Ledger na rozdíl od Bitcoinu nepoužívá těžbu, ale shodu důvěryhodných validátorů. Čím se liší bitcoin, altcoiny a stablecoiny, popisuje průvodce Co jsou kryptoměny. Aktuální cenu a vývoj ukazuje graf níže a stránka cena a graf XRP.