XRP Ledger（XRPL）で、本来の供給量を超えるXRPを生成し、決済に利用できるおそれのある重大な脆弱性が見つかり、修正版が公開された。The Defiantが11日（現地時間）に報じた。RippleXとXRP Ledger Foundationは、2015年からコード上に残っていた決済エンジンの欠陥を公表している。
この脆弱性は9月22日、XRPLのバグバウンティプログラムを通じて報告された。修正は9月25日に配布された「xrpld 3.4.1」に反映された。脆弱性を公表した10月9日時点では、基本信頼検証者リスト（UNL）の80％超が、すでに同バージョン以降へ更新済みだったという。
RippleXのエンジニアは、ローカル環境の独立サーバーで脆弱性の再現に成功し、新たに生成されたXRPがその後の決済に利用できることも確認した。一方で、公開ネットワーク上で実際に悪用された形跡は見つかっていない。
研究者のケイデン・リャオは、Veria AIと共同でまとめた技術文書の中で、この脆弱性を使った攻撃が一度成功しただけで、約18兆4500億XRPを生成できた可能性があると明らかにした。これはXRPの初期供給量である1000億XRPを大きく上回る規模だ。
リャオはあわせて、自身のチームがバグバウンティプログラムで最高額となる25万ドル（約3750万円）を受け取ったことも明かした。
著者について
Chi-gyu Hwang
delight@d-today.co.kr