Un bug nascosto dal 2015 nel motore dei pagamenti dell’XRP Ledger avrebbe potuto permettere a un attaccante di creare XRP spendibili ben oltre l’offerta fissa di 100 miliardi. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il rapporto di divulgazione dell’XRP Ledger, pubblicato il 9 ottobre 2026, conferma che la falla è stata corretta in xrpld 3.4.1 il 25 settembre e che non ci sono prove di sfruttamento su reti pubbliche. Lo stesso rapporto descrive un secondo bug nella nuova funzione Batch, corretto prima della sua attivazione in mainnet nello stesso giorno.
Il bug di overflow: come è stato scoperto
La vulnerabilità dell’XRP Ledger era un overflow di interi nel modo in cui il motore dei pagamenti somma gli importi delle offerte. Il controllo di sicurezza che deve garantire che nessun XRP venga mai creato usava la stessa aritmetica non verificata, quindi non se ne accorgeva. Secondo il rapporto, l’attacco sarebbe costato solo poche centinaia di XRP di riserve recuperabili, più le commissioni.
Il ricercatore Cayden Liao e Veria AI hanno segnalato il bug tramite il programma di bug bounty dell’XRPL il 22 settembre. Veria Labs afferma che il suo agente di intelligenza artificiale ha individuato la falla il 21 settembre e, su una rete di test locale, ha costruito una proof of concept che creava circa 18.000 miliardi di XRP in una sola transazione, circa 184 volte l’offerta totale. RippleX ha riprodotto il problema e ne ha alzato la gravità da «major» a «critical». L’8 ottobre Veria ha ricevuto la ricompensa massima del programma, 250.000 dollari, secondo il suo resoconto.
Una correzione d’emergenza senza voto
Le modifiche al trattamento delle transazioni passano di norma per gli «amendment», che richiedono il sostegno di oltre l’80% dei validatori fidati per due settimane. Questa volta la correzione è entrata in vigore appena ogni server veniva aggiornato. Secondo il rapporto, è la prima volta che una modifica al trattamento delle transazioni viene distribuita così in modo deliberato.
Le ragioni indicate da XRPL Foundation, RippleX e validatori: l’attacco era economico e alla portata di chiunque, i danni sarebbero stati difficili da annullare e pubblicare il codice durante due settimane di voto avrebbe svelato la falla. Il rapporto ammette il rischio: una rete con versioni miste avrebbe potuto fermarsi, scenario giudicato preferibile ad accettare transazioni malevole. Oltre l’80% dei validatori della UNL predefinita usava la 3.4.1 il giorno stesso del rilascio.
L’11 ottobre la Foundation ha ribadito su X che l’offerta di XRP è stata fissata a 100 miliardi al lancio e che nessuna transazione può crearne altri, come riportato da crypto.news.
Il bug di Batch e l’attivazione del 9 ottobre
Il secondo problema riguardava Batch, una funzione che raggruppa fino a otto transazioni in una. Il 18 settembre Denis Angell della XRPL Foundation ha scoperto che una correzione precedente era incompleta; l’ingegnera di RippleX Mayukha Vadari ha poi individuato un rischio di disaccordo tra versioni del software. Ripple e altri validatori hanno ritirato il voto per l’amendment BatchV1_1 il 23 e 24 settembre, per azzerarne il conto alla rovescia. L’amendment fixBatchV1_2 è stato attivato il 9 ottobre e, secondo crypto.news che cita XRPScan, BatchV1_1 è entrato in vigore lo stesso giorno con 30 validatori favorevoli e 5 contrari. I server non aggiornati sono ora bloccati.
Un dibattito sulla governance
Il bypass ha riacceso le domande sulla decentralizzazione del registro. Il 13 ottobre 24/7 Wall St. ha citato il validatore indipendente XRP Kuwait, secondo cui «coordinamento non significa controllo», pur riconoscendo che la rete ha sfide di decentralizzazione. Anche Bitcoin ed Ethereum hanno distribuito in passato correzioni d’emergenza coordinate, come Bitcoin con il bug di overflow del 2010.
Cosa significa per chi detiene XRP
Nessun fondo degli utenti è andato perso, nessuna chiave privata è stata esposta e il tetto di 100 miliardi di XRP resta valido, secondo la Foundation. Chi detiene XRP non deve fare nulla. L’episodio ricorda che la tokenomics di una criptovaluta è solida quanto il software che la applica.
La Foundation ora ritesta ogni vulnerabilità segnalata sulle release candidate prima di chiuderla, che arrivi da audit, bug bounty o test assistiti dall’IA. È un punto chiave mentre il registro punta alle istituzioni: funzioni come PermissionDelegation, che consente a emittenti di stablecoin e custodi di delegare pagamenti o approvazioni senza cedere le proprie chiavi, seguono lo stesso processo di amendment, ha riportato CoinDesk.
Cosa osservare
- La rapidità con cui gli ultimi validatori e operatori di nodi passano alla 3.4.1 o successive.
- Eventuali regole formali per le future patch d’emergenza; la Foundation sostiene che il processo di amendment non cambia.
- Il ritmo della ricerca di bug assistita dall’IA su altre blockchain. Per le basi, leggete la nostra guida Cos’è la blockchain.