今回取り上げるのは、XRP Ledger(XRPL)の支払い処理に見つかった重大な脆弱性の話です。報じられたところでは、細工された1回の取引で、XRPの固定された総供給量を超えるXRPを作り出せてしまうおそれがあったとされています。
原因は、決済エンジンが多数の注文(オファー)をまとめて処理する際の、64ビット整数の桁あふれ(オーバーフロー)とのことです。計算が一周してしまうと、注文の出し手には満額が支払われる一方、買い手の負担はほぼゼロになる可能性があったと説明されています。開示資料では、この欠陥は2015年ごろから存在していた可能性があるとされています。
バグは2026年9月22日に研究者がバグバウンティ(報奨金)制度を通じて報告し、開発元のRippleXが再現して「重大」と判定しました。9月25日には緊急リリース(xrpld 3.4.1)が出され、通常のバリデータ投票を経ずに、各サーバーのアップグレードに合わせて反映されたとのことです。ソースコードの公開は10月9日でした。
開示資料は「公開ネットワーク上で悪用された証拠は見つかっていない」としています。つまり実害は確認されておらず、修正も先に配布されていたことになります。一方で、発見までに約10年かかったという事実は、ブロックチェーンの中核コードでも長年見逃される欠陥があり得ることを示しており、報奨金制度などによる外部の目の重要性が改めて浮かびます。
詳細はこちら: gizmodo.com
