A XRP Ledger Foundation divulgou em 9 de outubro de 2026 uma falha crítica que poderia ter permitido a criação de até 18 trilhões de XRP, cerca de 180 vezes acima do limite de fornecimento de 100 bilhões de tokens. A vulnerabilidade, presente no código desde 2015, foi corrigida em caráter de emergência na versão 3.4.1 do xrpld, lançada em 25 de setembro.
O pesquisador de segurança Cayden Liao reportou a falha em 22 de setembro de 2026 através do programa de recompensas por bugs da XRPL. A equipe da RippleX confirmou a vulnerabilidade e reproduziu o ataque em um servidor isolado antes de liberar a correção três dias depois. Liao recebeu o pagamento máximo do programa: US$ 250 mil.
Como a falha funcionava
A vulnerabilidade estava no motor de pagamentos da XRP Ledger e era ativada quando uma única transação extraía XRP de múltiplas ofertas no livro de ordens. O software somava os valores usando um inteiro de 64 bits, mas quando o total ultrapassava o maior número que esse tipo de dado pode armazenar, ocorria um overflow aritmético.
Na prática, o valor "dava a volta" e se transformava em um número muito menor. Um atacante poderia explorar isso para gastar XRP que não existia, e as verificações de segurança existentes não detectavam a discrepância, especialmente quando os saldos inflados eram distribuídos entre várias contas.
Segundo a divulgação oficial, executar o ataque exigia ofertas especialmente elaboradas de centenas de contas. O custo seria de apenas algumas centenas de XRP em reservas e taxas, a maior parte recuperável. O montante criado em uma única transação poderia exceder o fornecimento total do token.
A exploração bem-sucedida teria consequências catastróficas para a integridade do XRP Ledger. A criação descontrolada de tokens diluiria o valor de todos os XRP existentes e minaria a confiança no protocolo. O limite de 100 bilhões de XRP é um pilar fundamental da proposta de valor do ativo.
Correção e divulgação
A versão 3.4.1 do xrpld foi lançada como uma atualização de emergência em 25 de setembro de 2026, contornando o processo normal de emenda que geralmente requer votação dos validadores. A mudança entrou em vigor imediatamente para nós que atualizaram.
A divulgação pública ocorreu apenas em 9 de outubro, cerca de duas semanas após a correção. Nesse momento, mais de 80% dos validadores padrão já haviam atualizado para a versão corrigida, segundo relatório da Wu Blockchain. Nós que ainda executam a versão 3.4.0 ou anterior precisam atualizar com urgência.
A XRP Ledger Foundation afirmou que investigadores não encontraram evidências de que a falha tenha sido explorada em redes públicas. A equipe relatou que não houve perda de fundos, chaves comprometidas ou problemas de consenso relacionados à vulnerabilidade. A janela entre a correção e a divulgação pública seguiu práticas de segurança responsável, permitindo que operadores atualizassem antes que detalhes técnicos se tornassem amplamente conhecidos.
Impacto para investidores brasileiros
XRP é um dos ativos digitais mais negociados por investidores brasileiros. A descoberta e correção da falha reforçam a importância de auditorias de segurança contínuas em protocolos de blockchain, especialmente aqueles com fornecimento fixo.
A idade da vulnerabilidade , uma década no código de produção , levanta questões sobre o escopo das revisões de segurança em projetos estabelecidos. Embora a correção tenha sido aplicada rapidamente após a descoberta, o fato de a falha ter permanecido não detectada por tanto tempo expõe os limites das auditorias tradicionais. Ferramentas automatizadas de análise de código e revisões por pares não capturaram a vulnerabilidade durante anos de desenvolvimento ativo.
O pagamento de US$ 250 mil ao pesquisador também destaca o valor dos programas de recompensas por bugs. Sem um canal formal para relato responsável, uma vulnerabilidade dessa magnitude poderia ter sido explorada antes de ser corrigida, comprometendo a integridade do fornecimento de XRP e potencialmente causando perdas bilionárias aos detentores.
Investidores que mantêm XRP em custódia própria devem verificar se os nós ou carteiras que utilizam estão atualizados para a versão 3.4.1 ou superior. Exchanges e provedores de custódia que operam validadores XRP têm responsabilidade adicional de garantir a atualização imediata. A falha serve como lembrete de que segurança em blockchain é um processo contínuo, não um estado final.