یک نقص فنی که بیش از یک دهه در دفترکل XRP باقی مانده بود، در تئوری می‌توانست به مهاجم اجازه دهد میلیاردها واحد XRP جدید ایجاد کند و سقف عرضه ۱۰۰ میلیارد توکنی این شبکه را زیر سؤال ببرد. بنیاد دفترکل XRP می‌گوید این آسیب‌پذیری در فعالیت‌های عادی فعال نمی‌شد و هیچ نشانه‌ای از سوءاستفاده یا ایجاد غیرمجاز XRP در شبکه عمومی دیده نشده است.
نقصی با پیامد بالقوه بزرگ
این آسیب‌پذیری در ۲۲ سپتامبر توسط پژوهشگری به نام کیدن لیائو و شرکت Veria AI شناسایی و به‌صورت داخلی گزارش شد. RippleX، بازوی توسعه‌دهنده مرتبط با دفترکل XRP، پس از بررسی موضوع وصله اصلاحی را منتشر کرد. بنیاد دفترکل XRP اعلام کرده است که هیچ XRP جدیدی در نتیجه این نقص ایجاد نشده و حدود ۹۹.۹۸۶ میلیارد XRP همچنان در گردش است.
اهمیت این موضوع به یکی از قواعد بنیادی XRP بازمی‌گردد. این دارایی از زمان آغاز به کار بلاک‌چین در سال ۲۰۱۲، با سقف عرضه ۱۰۰ میلیارد واحد طراحی شده و قرار نیست توکن جدیدی به‌طور معمول ضرب شود. XRP در دفترکل خود عمدتاً برای پرداخت کارمزد تراکنش‌ها و تسهیل مبادله دارایی‌ها در صرافی غیرمتمرکز داخلی استفاده می‌شود.
دفترکل XRP یک بلاک‌چین لایه‌اول غیرمتمرکز و متن‌باز است. بنابراین، نقصی که می‌توانست محاسبه عرضه را دور بزند، فقط یک خطای نرم‌افزاری معمولی نبود؛ بلکه می‌توانست به اصل محدود بودن تعداد توکن‌ها آسیب بزند. گزارش اولیه و جزئیات فنی این رویداد را CoinDesk منتشر کرده است.
سازوکار احتمالی سوءاستفاده
ریشه مشکل به خطایی موسوم به «سرریز عدد صحیح» بازمی‌گشت. در چنین وضعیتی، وقتی یک مقدار عددی از بیشترین حد قابل ثبت در سیستم عبور می‌کند، محاسبه می‌تواند به مقدار بسیار کوچک یا نزدیک به صفر برگردد؛ مانند شمارنده‌ای که پس از رسیدن به سقف، دوباره از ابتدا شروع می‌شود.
در دفترکل XRP، این خطا می‌توانست باعث شود هزینه واقعی یک معامله عظیم در محاسبات سیستم به مبلغی ناچیز تبدیل شود. در همین حال، حساب فروشنده مبلغ کامل XRP را دریافت می‌کرد. به این ترتیب، اختلاف میان ارزش واقعی معامله و هزینه ثبت‌شده می‌توانست عملاً بدون پشتوانه ایجاد شود و تعداد کل XRP را افزایش دهد.
سناریوی حمله به صدها عملیات از پیش طراحی‌شده نیاز داشت. مهاجم می‌توانست حساب‌های ساختگی ایجاد کند و سفارش‌های فروش توکن را با ارزش‌های بسیار بزرگ ثبت کند. سپس با استفاده از نقش خریدار، این دارایی‌ها را یک‌جا خریداری کند. در صورت فعال شدن نقص، سیستم به فروشندگان میلیاردها واحد XRP معتبر نسبت می‌داد، اما هزینه پرداختی خریدار را به کسری از یک سنت کاهش می‌داد.
در مرحله بعد، مهاجم بالقوه می‌توانست XRP ایجادشده را به حساب‌های مختلف منتقل و در بازارهای خارجی نقد کند. البته این توصیف، سناریوی نظری آسیب‌پذیری است و نه گزارشی از اجرای واقعی آن.
چرا سال‌ها شناسایی نشد؟
به گفته بنیاد دفترکل XRP، تراکنش‌های معمولی هیچ‌گاه به اندازه لازم برای فعال کردن این نقص بزرگ نبودند. اجرای آن به صدها عملیات عمداً ساخته‌شده نیاز داشت؛ الگویی که با رفتار عادی کاربران فاصله زیادی دارد.
مکانیسم‌های کنترلی داخلی نیز در این سناریو نمی‌توانستند مشکل را به‌درستی تشخیص دهند. یکی از بررسی‌هایی که پس از هر تراکنش انجام می‌شود تا اطمینان حاصل کند XRP جدیدی ایجاد نشده، به همان مجموع اشتباه محاسبه‌شده تکیه داشت. در نتیجه، این کنترل می‌توانست مقدار غیرعادی را عادی تلقی کند.
محدودیت دیگری که میزان XRP دریافتی هر حساب را بررسی می‌کند نیز لزوماً مانع حمله نمی‌شد، زیرا مهاجم می‌توانست دارایی‌ها را میان صدها حساب توزیع کند. ترکیب نیاز به مقیاس بزرگ، عملیات ساختگی و پراکنده‌سازی وجوه، از دلایل اصلی باقی ماندن نقص برای سال‌ها عنوان شده است.
وضعیت فعلی XRP در داده‌های Moneyiar
داده‌های بازار Moneyiar در ساعت ۰۹:۳۹ روز ۱۳ اکتبر ۲۰۲۶ نشان می‌دهد XRP با قیمت ۱.۳۶۳۴۸۱۸۲۷۳ دلار معامله می‌شود. این دارایی در ۲۴ ساعت گذشته ۲.۷۵ درصد و در بازه هفت‌روزه ۹.۳ درصد کاهش داشته است.
در میان داده‌های هم‌زمان، CAP با قیمت ۰.۰۹۲۹۷۵۸۹۱۴ دلار در ۲۴ ساعت ۰.۳۵ درصد و در هفت روز ۲۲.۶۵ درصد رشد کرده است. EDGE با قیمت ۰.۳۳۷۳۷۱۱۸۱ دلار، کاهش ۶ درصدی روزانه و افت ۲۵.۵۴ درصدی هفتگی داشته و MET نیز با قیمت ۰.۳۹۰۳۴۷۴۵۳۱ دلار، در ۲۴ ساعت ۱.۲۸ درصد پایین‌تر اما در هفت روز ۲۷.۰۸ درصد بالاتر بوده است.
بنیاد دفترکل XRP اعلام کرده است که برای کاهش ریسک‌های مشابه، استفاده تهاجمی‌تر از آزمون‌های خصمانه مبتنی بر هوش مصنوعی، به‌کارگیری راستی‌آزمایی صوری و تقویت برنامه کشف باگ را دنبال می‌کند. این بنیاد همچنین هشدار داده است که هوش مصنوعی می‌تواند شناسایی چنین نقص‌هایی را هم برای مهاجمان و هم برای پژوهشگران امنیتی سریع‌تر کند.
