Il bug di XRP Ledger rivelato nell'ottobre 2026 è stata una vulnerabilità critica del motore di pagamento. In teoria, avrebbe potuto creare XRP spendibili oltre l'offerta prevista di 100 miliardi della rete.
Il problema è stato riscontrato tramite il programma bug-bounty di XRPL. È stato corretto prima che i dettagli tecnici apparissero nel rapporto ufficiale sulla vulnerabilità di XRPL.
No, 18 trilioni di XRP non sono stati aggiunti in circolazione. Quel numero proveniva da un test controllato da un ricercatore di sicurezza.
La dichiarazione ufficiale di XRPL afferma che non ci sono prove di uno sfruttamento su alcuna rete pubblica. La struttura dell'offerta descritta nella guida di Tapbit su quanti XRP esistono non è cambiata improvvisamente.
Cos'era Esattamente il Bug di XRP Ledger?
Il difetto era un overflow di interi nel motore di pagamento. Questa parte del sistema somma gli importi da più offerte.
I computer memorizzano i numeri entro limiti fissi. Quando un'aritmetica non controllata supera quel limite, il risultato può arrotondarsi a un numero molto più piccolo invece di produrre un errore.
In questo caso, un attaccante avrebbe potuto creare centinaia di account. Ogni account avrebbe piazzato un'offerta insolita: vendere una piccola quantità di un altro token in cambio di un'enorme quantità di XRP. L'attaccante avrebbe quindi inviato un singolo pagamento progettato per consumare tutte quelle offerte.
Il motore avrebbe accreditato a ciascun proprietario dell'offerta l'intero importo di XRP richiesto. Ma il totale combinato dell'acquirente avrebbe potuto causare un overflow e un arrotondamento.
L'acquirente avrebbe quindi potuto essere addebitato solo di poche centinaia di gocce - l'unità più piccola di XRP - più la normale commissione di transazione.
| Fase | Cosa Poteva Fare il Motore Vulnerabile |
|---|---|
| Creazione offerta | Accettare offerte individualmente valide che richiedono quantità di XRP estremamente elevate. |
| Un singolo pagamento combinato | Consumare centinaia di quelle offerte in un'unica transazione. |
| Calcolo totale | Causare l'overflow dell'intero a dimensione fissa e arrotondare l'addebito dell'acquirente a un valore piccolo. |
| Accrediti venditore | Pagare a ciascun venditore controllato dall'attaccante l'intero importo registrato nella sua offerta. |
| Risultato | Creare XRP che l'acquirente non aveva effettivamente fornito. |
Perché il Controllo di Sicurezza dell'Offerta XRP Non L'ha Fermato?
XRP Ledger aveva già un invariante destinato a rifiutare qualsiasi transazione che creasse nuovo XRP. Un invariante è una regola che dovrebbe rimanere vera dopo ogni transazione valida. Qui, la regola confrontava le variazioni di saldo attraverso la transazione per confermare che l'XRP non apparisse dal nulla.
Il problema era che questo controllo sommava le variazioni di saldo utilizzando un'aritmetica a dimensione fissa simile. Poteva arrotondarsi nello stesso modo del calcolo del pagamento. La variazione netta appariva quindi come una normale commissione di transazione anziché un enorme aumento dell'offerta.
Un secondo controllo limitava il saldo di un singolo account. Lo sfruttamento proposto evitava quel controllo distribuendo il nuovo XRP creato su centinaia di account controllati dall'attaccante. Ogni account rimaneva al di sotto del limite individuale anche se l'importo combinato era ben al di sopra dell'offerta totale della rete.
Da Dove Proveniva il Numero di 18 Trilioni di XRP?
Il co-fondatore di Veria Labs, Cayden Liao, ha dichiarato che l'agente di sicurezza AI dell'azienda ha trovato il problema e ha creato uno sfruttamento funzionante. Ha stimato che una transazione costruita potesse creare circa 18 trilioni di XRP.
Ciò equivale a circa 184 volte l'offerta originale di 100 miliardi. La stima e i dettagli della ricompensa sono apparsi nella revisione di The Block sulla divulgazione.
Questa cifra descrive la capacità teorica di sfruttamento, non un evento osservato sulla mainnet. La distinzione è importante sia per i lettori che per i motori di ricerca:
- Offerta XRP originale: 100 miliardi di XRP sono stati creati al lancio del ledger.
- Stima di test: circa 18 trilioni di XRP potevano essere generati da una singola transazione modello di sfruttamento.
- Creazione confermata sulla rete pubblica: nessuna trovata dagli sviluppatori di XRPL.
Il difetto richiedeva offerte intenzionalmente anomale e una transazione progettata per consumarle insieme. Non poteva essere attivato da un normale pagamento XRP o da uno scambio ordinario.
XRP Ledger è Stato Effettivamente Sfruttato?
La dichiarazione ufficiale sulla vulnerabilità di XRPL afferma che il team non ha trovato prove che il problema sia stato sfruttato su alcuna rete pubblica. Il ricercatore ha segnalato il problema del motore di pagamento il 22 settembre. RippleX l'ha riprodotto in un server standalone locale e nel framework di unit-test, quindi ne ha aumentato la gravità a critica.
La correzione è stata distribuita in xrpld 3.4.1 il 25 settembre. La divulgazione pubblica è seguita il 9 ottobre, dopo che una larga maggioranza di validatori fidati stava eseguendo il software corretto.
Come XRPL Ha Corretto l'Overflow?
Il motore di pagamento aggiornato ora verifica se la somma degli importi delle offerte supererebbe l'intervallo consentito. Se si verificasse un overflow, quella parte del pagamento fallirebbe normalmente invece di arrotondarsi. Nulla viene coniato.
Gli sviluppatori hanno anche rafforzato l'invariante che verifica se l'XRP è stato creato. Ora utilizza un contatore più ampio che non può causare overflow nello stesso modo. Codici simili di aggregazione di bilancio sono stati rafforzati per precauzione.
Perché la Correzione è Stata Distribuita Senza il Normale Voto di Emendamento?
Le modifiche alle regole di XRPL di solito seguono un processo di emendamento. Una modifica si attiva solo dopo che oltre l'80% dei validatori fidati l'ha supportata continuamente per due settimane. Questo approccio mantiene tutti i server sincronizzati quando le regole delle transazioni cambiano.
La patch per l'overflow era diversa. Se il codice sorgente fosse stato pubblicato attraverso il normale processo prima dell'attivazione, un attaccante avrebbe potuto esaminarlo, ricostruire la vulnerabilità e prendere di mira i server che non si erano aggiornati. Gli sviluppatori hanno quindi distribuito binari corretti prima di pubblicare il codice sorgente e la divulgazione completa.
La scelta ha creato un dibattito sulla trasparenza perché i binari corretti sono apparsi prima del codice sorgente completo e della divulgazione. Gli ingegneri di RippleX hanno affermato che la pubblicazione immediata avrebbe potuto aiutare gli attaccanti a prendere di mira i server che non si erano aggiornati.
Cosa Significa il Bug per i Trader di XRP?
Lo shock diretto dell'offerta non si è verificato, quindi la storia non è equivalente a un evento di inflazione reale di 18 trilioni di token. La sua rilevanza di mercato deriva da quattro altri fattori:
- Fiducia nella sicurezza: un bug critico decennale può influenzare il modo in cui i trader valutano il rischio tecnico.
- Qualità della risposta: segnalazioni rapide e aggiornamenti dei validatori possono ricostruire la fiducia.
- Volatilità dei titoli: "18 trilioni di XRP" possono muovere il sentiment anche se l'importo non è mai stato coniato.
Al controllo dei dati del 12 ottobre, XRP era scambiato vicino a $1,41 con un intervallo intraday di circa $1,39 a $1,42. Questi prezzi sono sensibili al tempo e dovrebbero essere aggiornati immediatamente prima della pubblicazione.
RippleX ha gestito la correzione del software, ma Ripple, XRP e XRPL sono cose diverse. La guida di Tapbit XRP vs Ripple spiegata spiega la distinzione.
Come Fare Trading di XRP su Tapbit
- Crea o accedi a un account Tapbit e prepara USDT. Utilizza la pagina di registrazione di Tapbit, completa i passaggi richiesti per l'account e finanzia il saldo futures.
- Apri il mercato perpetuo XRP-USDT. Vai alla pagina futures XRP-USDT di Tapbit, conferma il ticker del contratto, quindi seleziona margine isolato o cross e scegli un livello di leva che corrisponda al piano di posizione.
- Scegli la direzione e le impostazioni dell'ordine. Seleziona long o short, utilizza un ordine limite o di mercato, inserisci la dimensione della posizione e imposta i livelli di stop-loss e take-profit.
- Rivedi e gestisci il trade. Controlla il prezzo di entrata, il margine, le commissioni stimate e il prezzo di liquidazione prima di inviare. Monitora la posizione aperta e chiudila o riducila se la condizione originale cambia.
FAQ
Qualcuno ha coniato 18 trilioni di XRP?
No. Circa 18 trilioni di XRP erano una stima di ricerca per uno sfruttamento controllato. Gli sviluppatori di XRPL non hanno trovato prove che il bug sia stato utilizzato su una rete pubblica.
Il bug di XRP Ledger avrebbe potuto creare XRP reali e spendibili?
Sì, prima della correzione una transazione costruita deliberatamente avrebbe potuto teoricamente creare XRP che potevano poi essere trasferiti o scambiati.
Quando è stato corretto il bug di XRP?
La correzione è stata distribuita in xrpld 3.4.1 il 25 settembre 2026. Il rapporto ufficiale sulla vulnerabilità è stato pubblicato il 9 ottobre.
L'offerta di 100 miliardi di XRP è stata modificata permanentemente?
No. Non ci sono prove di uno sfruttamento riuscito sulla rete pubblica, quindi la cifra teorica di 18 trilioni non è diventata offerta circolante.
Chi ha trovato la vulnerabilità di XRP Ledger?
Il problema è stato segnalato tramite il programma bug-bounty di XRPL. Veria Labs ha dichiarato che un agente di sicurezza AI ha contribuito a scoprire e riprodurre il difetto del motore di pagamento.
XRP-USDT è disponibile su Tapbit?
Sì. Tapbit elenca un mercato futures perpetuo XRP-USDT. Un contratto perpetuo fornisce esposizione al prezzo e non significa che il trader possieda XRP in un portafoglio personale.
