Lỗ hổng tồn tại từ khoảng năm 2015
RippleX cho biết đã vá một lỗ hổng nghiêm trọng trong XRP Ledger, được cho là tồn tại từ khoảng năm 2015.
Theo báo cáo bảo mật công bố ngày 9/10, lỗi nằm trong payment engine của XRPL và về lý thuyết có thể cho phép kẻ tấn công tạo thêm XRP trái với quy tắc nguồn cung của mạng lưới, sau đó sử dụng số XRP này như tài sản hợp lệ.
Tuy nhiên, RippleX nhấn mạnh hiện không có bằng chứng cho thấy lỗ hổng từng bị khai thác trên bất kỳ public network nào.
Lỗi được báo cáo ngày 22/9/2026 thông qua chương trình bug bounty của XRP Ledger.
Lỗi số học có thể phá vỡ cơ chế kiểm soát nguồn cung
Nguyên nhân được xác định là một lỗi tràn số nguyên 64-bit trong payment engine.
Theo thử nghiệm, nếu một giao dịch được thiết kế với hàng trăm lệnh mua bán đặc biệt, hệ thống có thể xử lý đầy đủ khoản XRP trả cho các bên nhận nhưng chỉ thu về một phần rất nhỏ số tiền đáng lẽ phải thanh toán.
Đáng lo hơn, cơ chế dùng để kiểm tra xem XRP mới có bị tạo ra trái phép hay không cũng chịu ảnh hưởng bởi cùng lỗi toán học.
RippleX đã tái tạo lỗ hổng trong môi trường thử nghiệm và xác nhận số XRP được tạo theo cách này có thể tiếp tục được chi tiêu trong các giao dịch sau.
Security remains our top priority for preserving trust in the XRP Ledger (XRPL). Sharing a few thoughts following yesterday's disclosure of the critical payments engine vulnerability reported by Veria AI.
First, this was a serious vulnerability, and we don't take that lightly.…
— J. Ayo Akinyele (@ja_akinyele) October 10, 2026
Hai lỗ hổng đã được sửa trong xrpld 3.4.1
Bên cạnh lỗi liên quan nguồn cung XRP, RippleX cũng vá một lỗi khác trong cơ chế batch processing.
Lỗi này có thể khiến các validator chạy những phiên bản phần mềm khác nhau đưa ra kết quả khác nhau cho cùng một giao dịch, từ đó có nguy cơ tạm thời làm gián đoạn quá trình xác nhận block.
May mắn là tính năng liên quan chưa được kích hoạt trên mainnet khi lỗi được phát hiện, nên không có số dư người dùng nào bị ảnh hưởng.
Cả hai vấn đề đã được sửa trong xrpld 3.4.1, phát hành ngày 25/9. Bản cập nhật fixBatchV1_2 sau đó được triển khai trên mainnet vào ngày 9/10.
Điểm quan trọng nhất là dù mức độ ảnh hưởng tiềm năng rất lớn, chưa có bằng chứng cho thấy XRP từng bị tạo trái phép trên mạng lưới thực tế.
