XRP लेजर की हार्ड कैप 100 बिलियन XRP है। करीब ग्यारह साल तक यह कैप सिर्फ एक सुझाव थी। 9 अक्टूबर 2026 को XRPL फाउंडेशन ने एक डिस्क्लोज़र रिपोर्ट प्रकाशित की जिसमें पुष्टि की गई कि एक ही तैयार किया गया ट्रांजैक्शन लगभग 18.4 ट्रिलियन खर्च करने योग्य XRP बना सकता था, जो कुल सप्लाई का करीब 184 गुना है, और यह कोड पेमेंट इंजन में नवंबर 2015 से मौजूद था। बग को एक AI एजेंट ने खोजा, तीन दिनों में पैच किया गया, और इसे उस तरीके से रिलीज़ किया गया जो लेजर ने पहले कभी इस्तेमाल नहीं किया था। किसी ने इसका फायदा नहीं उठाया। यह अच्छी खबर है। बाकी पूरी कहानी गहराई से देखने लायक है।
XRP लेजर ओवरफ्लो बग ने असल में क्या किया
यह खामी पेमेंट इंजन के उस हिस्से में थी जो ऑर्डर बुक को पार करने वाले पेमेंट को संभालता है। जब एक पेमेंट एक साथ कई ऑफर खर्च करता है, तो इंजन हर ऑफर मालिक को देय रकम जोड़ता है। यह जोड़ सादे 64 बिट साइन्ड इंटीजर से होती थी, बिना किसी ओवरफ्लो चेक के। अगर टोटल 2 की घात 64 से ऊपर चला जाए, तो काउंटर लपटकर एक छोटी संख्या बन जाता है, जैसे कार का ओडोमीटर 999999 से वापस 000000 पर आ जाता है।
अब बुरी बात सुनिए। इंजन ने खरीदार से लपटी हुई रकम वसूल की, जो बेहद छोटी थी। लेकिन हर ऑफर मालिक को उसकी पूरी, बिना लपटी रकम चुकाई... इन दोनों संख्याओं के बीच का अंतर वह XRP है जो एक पल पहले अस्तित्व में नहीं था।
लेजर में बिल्कुल इसी के लिए एक सेफ्टी नेट मौजूद है... XRPNotCreated नाम का एक इनवेरिएंट चेक हर ट्रांजैक्शन के बाद चलता है और किसी भी ऐसी चीज़ को वैलिडेट करने से मना कर देता है जो कुल XRP बढ़ाए। समस्या यह है कि यह इनवेरिएंट भी नेट XRP बदलाव को उसी बिना चेक वाली 64 बिट अंकगणित से ट्रैक करता था। काफी बड़ा क्रेडिट इनवेरिएंट काउंटर को भी लपेट देता था, इसलिए ट्रिलियनों XRP छापने वाला ट्रांजैक्शन सेफ्टी चेक की नज़र में एक सामान्य फीस बर्न जैसा दिखता था। दो स्वतंत्र बग, दो साल के अंतराल पर लिखे गए, एक-दूसरे की सुरक्षा को रद्द कर गए।
256 ऑफर मिलकर 18 ट्रिलियन XRP कैसे बनाते हैं
Veria Labs, वह सिक्योरिटी फर्म जिसके AI एजेंट ने बग खोजा, ने इसका गणित प्रकाशित किया। हमले में 256 ऑफर इस्तेमाल हुए। हर ऑफर 2 की घात 56, प्लस एक ड्रॉप XRP में बिकता था। 256 को इस आंकड़े से गुणा करें तो टोटल ठीक 2 की घात 64, प्लस 256 ड्रॉप पर पहुंचता है। हर ऑफर पर एक अतिरिक्त ड्रॉप मायने रखता है: इसके बिना जोड़ ठीक शून्य पर लपट जाता, जिसे इंजन खाली पेमेंट मानकर अस्वीकार कर देता। इसके साथ, खरीदार से 256 ड्रॉप, यानी लगभग 0.000256 XRP वसूला जाता है, जबकि 256 ऑफर मालिकों को मिलकर 2 की घात 64 ड्रॉप मिलते हैं... यानी 18,446,744,073,709,551,616 ड्रॉप, या लगभग 18.45 ट्रिलियन XRP।
हमलावर को 256 फंडेड अकाउंट चाहिए थे क्योंकि हर XRPL अकाउंट 100 बिलियन XRP तक सीमित है, जो एक अकाउंट में बंटी प्रति ऑफर रकम से काफी कम है। उसे रिज़र्व और ट्रांजैक्शन फीस के लिए कुछ सौ XRP भी चाहिए थे, जो पूरी तरह वसूल करने योग्य है। किसी वैलिडेटर एक्सेस की ज़रूरत नहीं थी। हमला नए अकाउंट के साथ दोहराया जा सकता था... Veria ने जोखिम में पड़ी रकम लगभग $94 बिलियन आंकी, जो $1.5 बिलियन की Bybit चोरी से साठ गुना से भी ज़्यादा है, जो फिलहाल असल में हुई क्रिप्टो हैक का रिकॉर्ड रखती है।
| घटक | मूल्य | यह क्यों मायने रखता है |
|---|---|---|
| एक पेमेंट में खर्च हुए ऑफर | 256 | प्रति बुक ट्रैवर्सल 1,000 ऑफर की सीमा के अंदर |
| प्रति ऑफर कीमत | 2^56 + 1 ड्रॉप | प्रति अकाउंट 100 बिलियन XRP की सीमा के अंदर रहती है |
| इंजन ने जो टोटल निकाला | 2^64 + 256 ड्रॉप | 64 बिट अंकगणित में 256 ड्रॉप पर लपट जाता है |
| खरीदार ने जो चुकाया | 256 ड्रॉप (0.000256 XRP) | लपटी हुई रकम |
| विक्रेताओं को जो मिला | लगभग 18.45 ट्रिलियन XRP | बिना लपटी रकम, कुल सप्लाई का 184 गुना |
| हमलावर की लागत | कुछ सौ XRP, वसूल करने योग्य | रिज़र्व प्लस फीस |
| वैलिडेटर एक्सेस की ज़रूरत | कोई नहीं | कोई भी फंडेड अकाउंट यह कर सकता था |
एक AI एजेंट ने इसे सोमवार रात खोजा
रिकॉर्ड पर रिपोर्टर Veria Labs के Cayden Liao हैं, और फर्म के AI एजेंट को भी श्रेय दिया गया है। Veria के अपने बयान के मुताबिक, एजेंट को 21 सितंबर को rippled कोडबेस पर लगाया गया, उसने दोनों ओवरफ्लो को फ्लैग किया, पता लगाया कि इन्हें चेन किया जा सकता है, और एक लोकल नेटवर्क पर एक काम करने वाला प्रूफ ऑफ कॉन्सेप्ट तैयार किया... इसे जांचने के लिए एक फाउंडिंग इंजीनियर को सुबह 4 बजे जगाया गया। 22 सितंबर की सुबह तक टीम इतनी आश्वस्त थी कि उसने इसे XRPL बग बाउंटी प्रोग्राम के ज़रिए दर्ज करा दिया, और इसे Major रेटिंग दी... RippleX ने उसी दिन इसे रिप्रोड्यूस किया और Critical तक बढ़ा दिया। वास्तविकता में, Veria का दावा है कि डिस्क्लोज़र के बाद उसी कोड पर लगाए गए सामान्य प्रयोजन वाले कोडिंग एजेंट इसे खोजने में नाकाम रहे। इसे उस कंपनी की ओर से आम नमक के दाने के साथ लें जो यह टूल बेच रही है। बड़ी बात वैसे भी बनी हुई है। BookStep एग्रीगेशन कोड नवंबर 2015 का है और XRPNotCreated इनवेरिएंट फरवरी 2017 का। XRPL ने $1 मिलियन से ज़्यादा बाउंटी चुकाई है और 2024 से एक दर्जन से ज़्यादा ऑडिट और ऑडिट कॉन्टेस्ट कराए हैं। इंसानों और ऑडिट फर्मों ने इस कोड को एक दशक तक देखा और इसे चूक गए। यह पैटर्न अब जाना-पहचाना होता जा रहा है। Coldcard ने इस गर्मी में लगभग 1,367 BTC एक पांच साल पुराने फर्मवेयर बग के कारण खोए, जिसके बारे में उसके निर्माता को संदेह है कि इसे AI की मदद से खोजा गया था... पुराना कोड सिर्फ पुराना होने के कारण अब सुरक्षित नहीं रहता।
फिक्स ने वैलिडेटर वोट क्यों छोड़ा
यहीं से कहानी एक साफ़ सिक्योरिटी जीत से निकलकर एक गवर्नेंस बहस बन जाती है। XRP लेजर आम तौर पर ट्रांजैक्शन नियमों को अमेंडमेंट के ज़रिए बदलता है। एक नया नियम सॉफ्टवेयर में बंद हालत में आता है, वैलिडेटर उस पर वोट करते हैं, और यह डिफ़ॉल्ट Unique Node List पर लगातार दो हफ्तों तक 80 प्रतिशत से ज़्यादा समर्थन बनाए रखने के बाद ही सक्रिय होता है। यह सिस्टम एक दशक से ज़्यादा समय से मौजूद है और ट्रांजैक्शन प्रोसेसिंग बदलाव के लिए इसे कभी जानबूझकर बायपास नहीं किया गया।
25 सितंबर तक। ओवरफ्लो फिक्स सीधे xrpld 3.4.1 में बिना किसी अमेंडमेंट गेट के रिलीज़ हुआ। यह हर सर्वर पर उस पल असर करने लगा जब उस सर्वर ने अपग्रेड किया... XRPL फाउंडेशन का तर्क सीधा है: अमेंडमेंट वोट फिक्स को, और इसलिए बग को, असर में आने से दो हफ्ते पहले प्रकाशित कर देता। डिफ पढ़ने वाले किसी भी व्यक्ति के पास 18 ट्रिलियन XRP छापने के लिए पूरे दो हफ्ते होते। फाउंडेशन का कहना है कि यह फैसला उसने, RippleX ने, कोर डेवलपर्स ने और वैलिडेटर्स ने मिलकर लिया, और कोई भी एक पक्ष अकेले यह फैसला नहीं ले सकता था।
इस तरीके में अपना जोखिम भी था, जिसे डिस्क्लोज़र रिपोर्ट मानती है। अगर किसी ने नेटवर्क के पैच्ड और अनपैच्ड सर्वरों के बीच बंटे होने के दौरान हमला करने की कोशिश की होती, तो दोनों समूह लेजर स्टेट पर असहमत हो जाते... सबसे बुरी स्थिति में नेटवर्क रुक जाता। टीम ने संभावित ठहराव को निश्चित सप्लाई विस्फोट से बेहतर माना, जिससे बहस करना मुश्किल है। 25 सितंबर को रिलीज़ के कुछ ही घंटों में 80 प्रतिशत से ज़्यादा डिफ़ॉल्ट UNL वैलिडेटर 3.4.1 चला रहे थे।
| तारीख | घटना |
|---|---|
| नवंबर 2015 | BookStep ऑफर समेशन कोड बिना चेक वाली 64 बिट जोड़ के साथ लिखा गया |
| फरवरी 2017 | XRPNotCreated इनवेरिएंट जोड़ा गया, उसी बिना चेक वाली अंकगणित के साथ |
| 21 सितंबर 2026 | Veria Labs का AI एजेंट दोनों ओवरफ्लो फ्लैग करता है और उन्हें चेन करता है |
| 22 सितंबर 2026 | XRPL बग बाउंटी के ज़रिए रिपोर्ट, RippleX द्वारा रिप्रोड्यूस, Critical तक बढ़ाया गया |
| 23 सितंबर 2026 | फिक्स निजी तौर पर 3.4.1 रिलीज़ कैंडिडेट में मर्ज किया गया |
| 25 सितंबर 2026 | xrpld 3.4.1 रिलीज़, 80 प्रतिशत से ज़्यादा डिफ़ॉल्ट UNL वैलिडेटर्स अपग्रेड हुए |
| 8 अक्टूबर 2026 | Veria Labs को अधिकतम $250,000 बाउंटी चुकाई गई |
| 9 अक्टूबर 2026 | सार्वजनिक डिस्क्लोज़र रिपोर्ट प्रकाशित, Batch फिक्स अमेंडमेंट सक्रिय |
| 12 अक्टूबर 2026 | ZachXBT सार्वजनिक रूप से बाउंटी को बहुत कम बताते हैं |
इसके बाद छिड़ी डीसेंट्रलाइज़ेशन की लड़ाई
संक्षेप में, Cyber Capital के Justin Bons, जो XRP के लंबे समय के आलोचक हैं, ने इस घटना का इस्तेमाल यह तर्क देने के लिए किया कि XRP को रिटेल के लिए डीसेंट्रलाइज़्ड बताकर मार्केटिंग करना धोखा है। उनकी खास शिकायतें: 25 सितंबर की रिलीज़ सिर्फ कंपाइल्ड बाइनरी के रूप में बांटी गई, सोर्स कोड अस्थायी रूप से रोका गया, और ऑपरेटरों पर ऐसी बाइनरी अपग्रेड करने का दबाव डाला गया जिसे वे जांच नहीं सकते थे। XRPL डिस्क्लोज़र रिपोर्ट पुष्टि करती है कि सोर्स बाद में प्रकाशित हुआ, हालांकि यह नहीं बताती कि कब।
व्यवहार में, जवाबी तर्क फाउंडेशन से उतना ही स्वतंत्र वैलिडेटर ऑपरेटरों से भी आया। XRP Kuwait, जो अपना खुद का नोड चलाता है, ने इसे यूं रखा: समन्वय और नियंत्रण एक चीज़ नहीं हैं। स्वतंत्र ऑपरेटरों ने वही एडवाइज़री पढ़ी, वही निष्कर्ष निकाला, और अपग्रेड किया। किसी ने उन्हें मजबूर नहीं किया... Bitcoin ने भी यही किया है, खास तौर पर Bitcoin Core 0.16.x में 2018 के इन्फ्लेशन बग के साथ, जब डेवलपर्स ने चुपचाप एक फिक्स रिलीज़ किया और बाद में बताया कि उसने क्या ठीक किया। हर चेन जिसमें कोई गंभीर बग होता है, आखिरकार पारदर्शिता और बचाव के बीच चुनाव के सामने आती है, और हर एक ने बचाव चुना है। आखिर में, Bons की बात बाइनरी पर सही है। एक ऐसी बाइनरी रिलीज़ करना जिसे वेरिफाई नहीं किया जा सकता और वैलिडेटर्स से तुरंत उसे चलाने को कहना एक भरोसे का अभ्यास है, चाहे वह कितना भी जायज़ हो। XRPL की स्थिति का ईमानदार संस्करण यह है कि उसके वैलिडेटर सेट ने फाउंडेशन और RippleX पर इतना भरोसा किया कि कुछ दिनों तक बिना समीक्षा वाला कोड चलाया। आप इसे डीसेंट्रलाइज़्ड कहते हैं या नहीं, यह इस पर निर्भर करता है कि आपके लिए उस शब्द का मतलब क्या है।
क्या $94 बिलियन के बग के लिए $250,000 काफी थे
Veria Labs को 8 अक्टूबर को XRPL प्रोग्राम की टॉप क्रिटिकल टियर पेआउट $250,000 मिली... Veria ने इसे शायद पूरी तरह एक AI एजेंट द्वारा खोजे गए बग के लिए अब तक चुकाई गई सबसे बड़ी बाउंटी बताया। चार दिन बाद, ब्लॉकचेन इन्वेस्टिगेटर ZachXBT ने इसे एक बुरा मज़ाक कहा... उनका तर्क: जिस इकोसिस्टम के ट्रेज़री में अरबों हैं, उसने ऐसी खोज के लिए ढाई लाख चुकाए जो उस एसेट को खत्म कर सकती थी। और यही अंतर अगले रिसर्चर को हमलावर को बेचने के लिए प्रेरित करता है... उन्होंने सात अंकों को न्यूनतम स्तर बताया और Zcash इकोसिस्टम में हाल के एक काउंटरफिटिंग बग के लिए कथित तौर पर चुकाए गए सात अंकों के इनाम की ओर इशारा किया। लेखन के समय तक न Ripple ने और न फाउंडेशन ने सार्वजनिक रूप से जवाब दिया था।
दोनों पक्ष अलग-अलग बातों पर सही हैं। प्रोग्राम ने अपना विज्ञापित अधिकतम भुगतान किया, रिसर्चर ने ज़िम्मेदारी से डिस्क्लोज़ किया, और फिक्स उससे पहले लग गया जब तक लूप के बाहर किसी को पता चलता। यह सिस्टम के काम करने की बात है। यह भी सच है कि $250,000 जोखिम में पड़े $94 बिलियन का 0.27 प्रतिशत है, और 256 अकाउंट और कुछ सौ XRP रखने वाला कोई भी हमलावर बाकी 99.73 प्रतिशत ले सकता था। जब XRP अपने मौजूदा मार्केट वैल्यू का एक छोटा हिस्सा था तब लिखी गई बाउंटी सीमाएं उस चीज़ के साथ नहीं बढ़तीं जिसकी वे रक्षा करती हैं।
XRP होल्डर्स और क्रिप्टो जुआरियों को इससे क्या सीखना चाहिए
फिक्स सर्वर साइड है। आपका वॉलेट, आपकी कीज़ और आपका बैलेंस इसमें कभी शामिल नहीं थे और आपकी तरफ से कुछ भी अपडेट करने की ज़रूरत नहीं है। सप्लाई कैप टिका रहा क्योंकि बग पकड़ा गया, इसलिए नहीं कि इनवेरिएंट ने काम किया। इस वाक्य का दूसरा हिस्सा याद रखने लायक है।
यहां तीन व्यावहारिक सबक हैं... पहला, कोड दस साल से लाइव है, यह अब सिक्योरिटी का तर्क नहीं रहा। AI की मदद से ऑडिटिंग पुराने ओवरफ्लो को खोजना सस्ता बना रही है, और हमलावर वही मॉडल किराए पर लेते हैं जो रिसर्चर लेते हैं। दूसरा, फीचर रोलआउट के लिए बनाई गई गवर्नेंस प्रक्रियाएं क्रिटिकल पैच के लिए नहीं बनी हैं। और हर चेन को पहले से तय करना चाहिए कि वह अगले को कैसे संभालेगी, बजाय दबाव में तात्कालिक फैसला करने के। तीसरा, बग बाउंटी सीमाएं सुरक्षित की गई वैल्यू के साथ चलनी चाहिए। 2022 में उदार दिखने वाली एक तय सीमा 2026 में एक न्योता है। साथ ही, जुआरी दर्शकों के लिए प्रासंगिकता सीधी है। XRP क्रिप्टो कैसीनो में एक मानक डिपॉज़िट रेल बन गया है क्योंकि यह चार सेकंड में एक सेंट के एक अंश पर सेटल होता है। और वह गति इस पर निर्भर करती है कि लेजर के नियम सही हों। पेआउट ऑटोमेट करने वाले प्लेटफॉर्म, जिनमें CryptoCasino.Vegas भी शामिल है, हर बार जब कोई XRP निकासी बिना किसी इंसान के देखे पूरी होती है, चेन के इनवेरिएंट्स पर भरोसा करते हैं। इस बार वे इनवेरिएंट्स टिके क्योंकि एक रिसर्चर और एक AI एजेंट रातभर काम कर रहे थे, और यह 100 बिलियन की कैप के कभी जताए गए भरोसे से कहीं पतला अंतर है।
पूरा तकनीकी विवरण, दोनों ओवरफ्लो लोकेशन और उन्हें बदलने वाली हार्डन्ड अंकगणित सहित, xrpld 3.4.1 के लिए XRPL फाउंडेशन की वल्नरेबिलिटी डिस्क्लोज़र रिपोर्ट में है।
