Um overflow de inteiros com uma década de existência no mecanismo de pagamentos do XRP Ledger poderia ter permitido que um invasor criasse XRP gastáveis em quantidade muito superior ao limite de oferta de 100 bilhões.

O bug foi reportado em 22 de setembro pelo agente de IA da Veria Labs e corrigido três dias depois em uma versão emergencial do xrpld 3.4.1, que contornou a votação habitual de emendas.

Os desenvolvedores não encontraram evidências de exploração em nenhuma rede pública; a Veria recebeu a recompensa máxima de US$ 250.000.

Os desenvolvedores do XRP Ledger divulgaram em 9 de outubro que um overflow de inteiros no mecanismo de pagamentos da rede, presente desde que o código foi escrito em 2015, poderia ter permitido que um invasor criasse e gastasse novos XRP, violando as regras de oferta fixa do ledger, segundo o relatório oficial de divulgação da vulnerabilidade.

A falha afetava a forma como o mecanismo somava os montantes em XRP quando um único pagamento consumia muitas ofertas do livro de ordens. Os saldos são armazenados como inteiros de 64 bits com um limite máximo fixo; quando o total ultrapassava esse limite, dava a volta e regressava a um número pequeno, em vez de gerar um erro. De acordo com o relatório, o mecanismo pagava então o valor total a cada titular de uma oferta, cobrando ao comprador apenas o total que tinha dado a volta e criando assim a diferença como XRP novo e utilizável.

De acordo com a divulgação, o ataque «não podia ser desencadeado por acidente», pois exigia «centenas de ofertas com preços que nenhum operador real usaria, seguidas de um pagamento concebido especificamente para as consumir todas de uma só vez». Os engenheiros da RippleX reproduziram a exploração num servidor autónomo no próprio dia em que foi reportada, confirmaram que o XRP criado podia ser gasto num pagamento subsequente e elevaram a gravidade de alta para crítica.

A empresa de segurança Veria Labs afirmou que o seu agente de IA descobriu as vulnerabilidades encadeadas e criou uma prova de conceito funcional. O cofundador Cayden Liao escreveu no X que uma única transação de exploração poderia ter criado cerca de 18 biliões de XRP, ou 184 vezes o montante de 100 mil milhões de tokens emitido no lançamento. Segundo uma publicação no blogue da empresa, a Veria recebeu a recompensa máxima de 250 000 dólares do programa, que Liao descreveu como o maior pagamento conhecido por uma vulnerabilidade encontrada inteiramente por um agente de IA.

A correção foi lançada na versão 3.4.1 do xrpld a 25 de setembro, três dias depois do relatório de 22 de setembro. Nesse dia, mais de 80% dos validadores da Unique Node List predefinida utilizavam o software corrigido. Pela primeira vez em mais de uma década, os programadores não realizaram a votação normal de alteração, que dura duas semanas e exige mais de 80% de apoio, porque publicar o código-fonte antes da ativação teria deixado a falha exposta e vulnerável a exploração durante semanas, explicou a XRP Ledger Foundation.

A fundação salientou que não foi criado XRP novo. «A oferta de XRP foi fixada em 100 mil milhões quando o XRP Ledger foi lançado, e nenhuma transação pode criar mais. Este erro permitia contornar essa regra, e a versão 3.4.1 corrigiu-o», publicou @XRPLF. Permanecem em circulação cerca de 99,986 mil milhões de XRP, uma vez que as taxas são queimadas. A mesma versão também resolveu um problema separado de validação do invólucro de transações Batch, ativado através do processo normal de alteração a 9 de outubro.

O episódio evidencia tanto o papel crescente da IA na descoberta de vulnerabilidades como os desafios operacionais de corrigir redes descentralizadas em funcionamento sem criar novas janelas de ataque. Os programadores afirmaram que, em resposta, estão a reforçar a verificação formal, os testes adversariais com IA e os incentivos dos programas de recompensas.