XRP Ledger'ın 100 milyar XRP'lik kesin bir üst sınırı var. Yaklaşık on bir yıl boyunca bu sınır sadece bir öneriydi. 9 Ekim 2026'da XRPL Foundation, tek bir özel işlemin yaklaşık 18,4 trilyon harcanabilir XRP yaratabileceğini — toplam arzın yaklaşık 184 katı — ve buna izin veren kodun Kasım 2015'ten beri ödeme motorunda durduğunu doğrulayan bir açıklama raporu yayınladı. Hata bir yapay zeka ajanı tarafından bulundu, üç günde yamalandı ve ledger'ın daha önce hiç kullanmadığı bir şekilde devreye alındı. Kimse bunu istismar etmedi. İyi haber bu. Hikayenin geri kalanı daha yakından bakılmayı hak ediyor.
XRP Ledger taşma hatası tam olarak ne yaptı
Kusur, ödeme motorunun emir defterini kesen bir ödemeyi işleyen kısmında yaşıyordu. Bir ödeme aynı anda birçok teklifi tükettiğinde, motor her teklif sahibine borçlu olduğu tutarları toplar. Bu toplama, taşma kontrolü olmayan düz 64 bit işaretli tamsayılar kullanıyordu. Toplamı 2 üzeri 64'ün ötesine itin ve sayaç küçük bir sayıya döner — tıpkı bir arabanın kilometre sayacının 999999'dan 000000'a dönmesi gibi.
İşte çirkin kısım. Motor alıcıdan sarmalanmış toplamı tahsil etti, ki bu çok küçüktü. Her teklif sahibine ise tam, sarmalanmamış tutarını ödedi. Bu iki sayı arasındaki fark, bir an önce var olmayan XRP'dir.
Ledger'ın tam da bunun için bir güvenlik ağı var. XRPNotCreated adlı bir değişmezlik kontrolü her işlemden sonra çalışır ve toplam XRP'yi artıran hiçbir şeyi doğrulamayı reddeder. Sorun şu ki, değişmezlik kontrolü net XRP değişimini aynı kontrol edilmeyen 64 bit aritmetiğiyle takip ediyordu. Yeterince büyük bir kredi, değişmezlik sayacını da sarmaladı, böylece trilyonlarca XRP basan bir işlem güvenlik kontrolüne rutin bir ücret yakımı gibi göründü. İki yıl arayla yazılmış iki bağımsız hata, birbirlerinin korumasını iptal etti.
256 teklif nasıl 18 trilyon XRP'ye ulaşıyor
Hatayı bulan yapay zeka ajanının sahibi olan güvenlik firması Veria Labs, aritmetiği yayınladı. Saldırı 256 teklif kullandı. Her teklif 2 üzeri 56 artı bir damla XRP'ye satılıyordu. 256'yı bu rakamla çarpın ve toplam tam olarak 2 üzeri 64 artı 256 damlaya denk gelir. Teklif başına ekstra tek damla önemlidir: o olmadan toplam tam olarak sıfıra sarmalanır ve motor bunu kuru bir ödeme olarak reddeder. Onunla birlikte, alıcıdan 256 damla, yaklaşık 0,000256 XRP tahsil edilirken 256 teklif sahibi toplu olarak 2 üzeri 64 damla alır. Bu 18.446.744.073.709.551.616 damla, yani yaklaşık 18,45 trilyon XRP'dir.
Saldırganın 256 fonlanmış hesaba ihtiyacı vardı çünkü her XRPL hesabı 100 milyar XRP ile sınırlıdır ve bu, tek bir hesaba bölünen teklif başına tutarın çok altındadır. Ayrıca rezervler ve işlem ücretleri için birkaç yüz XRP'ye ihtiyaçları vardı, hepsi geri alınabilir. Doğrulayıcı erişimi gerekmedi. Saldırı yeni hesaplarla tekrarlanabilirdi. Veria, risk altındaki değeri yaklaşık 94 milyar dolar olarak belirledi; bu, gerçekleşmiş bir kripto hack'i rekorunu elinde tutan 1,5 milyar dolarlık Bybit soygununun altmış katından fazladır.
| Bileşen | Değer | Neden önemli |
|---|---|---|
| Tek ödemede tüketilen teklifler | 256 | Defter geçişi başına 1.000 teklif sınırının altında |
| Teklif başına fiyat | 2^56 + 1 damla | Hesap başına 100 milyar XRP sınırının altında kalır |
| Motorun hesapladığı toplam | 2^64 + 256 damla | 64 bit aritmetikte 256 damlaya sarmalanır |
| Alıcının ödediği | 256 damla (0,000256 XRP) | Sarmalanmış değer |
| Satıcıların aldığı | Yaklaşık 18,45 trilyon XRP | Sarmalanmamış değer, toplam arzın 184 katı |
| Saldırganın maliyeti | Birkaç yüz XRP, geri alınabilir | Rezervler artı ücretler |
| Gereken doğrulayıcı erişimi | Yok | Herhangi bir fonlanmış hesap yapabilirdi |
Bir yapay zeka ajanı bunu pazartesi gecesi buldu
Kayıtlı rapor sahibi Veria Labs'ten Cayden Liao olup, firmanın yapay zeka ajanı da onunla birlikte anılıyor. Veria'nın kendi anlatımına göre, ajan 21 Eylül'de rippled kod tabanına yönlendirildi, her iki taşmayı da işaretledi, bunların zincirlenebileceğini çözdü ve yerel bir ağda çalışan bir kavram kanıtı üretti. Kurucu mühendislerden biri kontrol etmek için sabah 4'te uyandırıldı. 22 Eylül sabahına kadar ekip, bunu XRPL Bug Bounty programı üzerinden bildirecek kadar kendinden emindi ve Major olarak derecelendirdi. RippleX aynı gün yeniden üretti ve Critical'a yükseltti. Gerçekçi olarak Veria, açıklamadan sonra aynı koda yönlendirilen genel amaçlı kodlama ajanlarının bunu bulamadığını iddia ediyor. Bunu, işi yapan aracı satan bir şirketten gelen her zamanki ihtiyat payıyla karşılayın. Daha geniş nokta yine de geçerli. BookStep toplama kodu Kasım 2015'e ve XRPNotCreated değişmezliği Şubat 2017'ye dayanıyor. XRPL 2024'ten beri 1 milyon doların üzerinde ödül ödedi ve bir düzineden fazla denetim ve denetim yarışması düzenledi. İnsanlar ve denetim firmaları bu koda on yıl baktı ve gözden kaçırdı. Kalıp tanıdık hale geliyor. Coldcard bu yaz, üreticisinin yapay zeka yardımıyla bulunduğundan şüphelendiği beş yıllık bir yazılım hatası nedeniyle yaklaşık 1.367 BTC kaybetti. Eski kod artık sırf eski olduğu için güvenli değil.
Düzeltme doğrulayıcı oylamasını neden atladı
İşte hikayenin temiz bir güvenlik zaferi olmaktan çıkıp bir yönetişim tartışmasına dönüştüğü yer. XRP Ledger normalde işlem kurallarını değişiklikler (amendment) yoluyla değiştirir. Yeni bir kural yazılımda kapalı olarak gelir, doğrulayıcılar oy verir ve ancak varsayılan Unique Node List'te iki ardışık hafta boyunca yüzde 80'in üzerinde destek tuttuktan sonra etkinleşir. Sistem on yıldan fazla süredir yerinde ve bir işlem işleme değişikliği için kasıtlı olarak hiç atlatılmadı.
25 Eylül'e kadar. Taşma düzeltmesi doğrudan xrpld 3.4.1'de değişiklik kapısı olmadan gönderildi. Her sunucu yükseltildiği anda o sunucuda yürürlüğe girdi. XRPL Foundation'ın gerekçesi açık: bir değişiklik oylaması, düzeltmeyi ve dolayısıyla hatayı yürürlüğe girmeden iki hafta önce yayınlayacaktı. Farkı okuyan herkesin 18 trilyon XRP basmak için iki haftası olurdu. Foundation, kararın kendisi, RippleX, çekirdek geliştiriciler ve doğrulayıcılar tarafından ortaklaşa alındığını ve hiçbir tarafın tek başına bu kararı veremeyeceğini söylüyor.
Yaklaşımın kendi riski vardı ve açıklama raporu bunu kabul ediyor. Ağ yamalı ve yamasız sunucular arasında bölünmüşken biri istismarı deneseydi, iki grup ledger durumu konusunda anlaşamazdı. En kötü senaryoda ağ durur. Ekip, olası bir durmanın kesin bir arz patlamasına tercih edilebilir olduğuna karar verdi ki buna itiraz etmek zor. Varsayılan UNL doğrulayıcılarının yüzde 80'inden fazlası 25 Eylül'deki sürümden saatler sonra 3.4.1'i çalıştırıyordu.
| Tarih | Olay |
|---|---|
| Kas 2015 | BookStep teklif toplama kodu kontrol edilmeyen 64 bit toplama ile yazıldı |
| Şub 2017 | XRPNotCreated değişmezliği eklendi, aynı kontrol edilmeyen aritmetiği kullanıyor |
| 21 Eyl 2026 | Veria Labs yapay zeka ajanı her iki taşmayı işaretledi ve zincirledi |
| 22 Eyl 2026 | XRPL Bug Bounty üzerinden bildirildi, RippleX tarafından yeniden üretildi, Critical'a yükseltildi |
| 23 Eyl 2026 | Düzeltme özel olarak 3.4.1 sürüm adayına birleştirildi |
| 25 Eyl 2026 | xrpld 3.4.1 yayınlandı, varsayılan UNL doğrulayıcılarının yüzde 80'inden fazlası yükseltildi |
| 8 Eki 2026 | Veria Labs'a maksimum 250.000 dolar ödül ödendi |
| 9 Eki 2026 | Kamuya açıklama raporu yayınlandı, Batch düzeltme değişikliği etkinleşti |
| 12 Eki 2026 | ZachXBT ödülü kamuya açık şekilde çok düşük olarak nitelendirdi |
Ardından gelen merkeziyetsizlik tartışması
Kısacası, Cyber Capital'den Justin Bons, uzun süredir XRP eleştirmeni, olayı XRP'yi perakende yatırımcıya merkeziyetsiz olarak pazarlamanın dolandırıcılık anlamına geldiğini savunmak için kullandı. Spesifik şikayetleri: 25 Eylül sürümü yalnızca derlenmiş ikili dosyalar olarak dağıtıldı, kaynak kodu geçici olarak saklandı ve operatörlere inceleyemeyecekleri bir ikili dosyayı yükseltmeleri için baskı yapıldı. XRPL açıklama raporu kaynağın daha sonra yayınlandığını doğruluyor, ancak ne zaman olduğunu söylemiyor.
Pratikte karşı argüman, Foundation kadar bağımsız doğrulayıcı operatörlerinden de geldi. Kendi düğümünü işleten XRP Kuwait, bunu koordinasyon kontrolle aynı şey değildir diye ifade etti. Bağımsız operatörler aynı tavsiyeyi okudu, aynı sonuca vardı ve yükseltti. Kimse onları zorlamadı. Bitcoin de aynı şeyi yaptı, özellikle Bitcoin Core 0.16.x'teki 2018 enflasyon hatasıyla, geliştiriciler neyi düzelttiğini açıklamadan önce sessizce bir düzeltme gönderdiklerinde. Ciddi bir hataya sahip her zincir sonunda şeffaflık ile hayatta kalma arasında seçim yapmak zorunda kalır ve hepsi hayatta kalmayı seçti. Sonuçta Bons'un haklı olduğu nokta ikili dosyalar. Doğrulanamayan bir ikili dosya göndermek ve doğrulayıcılardan hemen çalıştırmalarını istemek, ne kadar haklı olursa olsun bir güven egzersizidir. XRPL'in pozisyonunun dürüst versiyonu, doğrulayıcı setinin birkaç gün boyunca incelenmemiş kod çalıştıracak kadar Foundation ve RippleX'e güvendiğidir. Buna merkeziyetsiz deyip dememeniz, kelimenin ne anlama geldiğini düşündüğünüze bağlıdır.
94 milyar dolarlık bir hata için 250.000 dolar yeterli miydi
Veria Labs, 8 Ekim'de XRPL programının en üst kritik kademe ödemesi olan 250.000 doları aldı. Veria bunu muhtemelen tamamen bir yapay zeka ajanı tarafından bulunan bir hata için ödenen en büyük ödül olarak nitelendirdi. Dört gün sonra, blockchain araştırmacısı ZachXBT bunu kötü bir şaka olarak nitelendirdi. Argümanı: hazinesi milyarlar tutan bir ekosistem, varlığı sona erdirebilecek bir bulgu için çeyrek milyon ödedi. Ve bu fark, bir sonraki araştırmacıyı bunun yerine bir saldırgana satmaya iten teşvikin tam kendisidir. Yedi haneli rakamları taban olarak önerdi ve Zcash ekosisteminde yakın zamanda bir sahtecilik hatası için bildirildiğine göre ödenen yedi haneli bir ödüle işaret etti. Ne Ripple ne de Foundation yazı sırasında kamuya açık bir yanıt vermişti.
Her iki taraf da farklı şeylerde haklı. Program ilan ettiği maksimumu ödedi, araştırmacı sorumlu bir şekilde açıkladı ve düzeltme, döngü dışındaki kimse bilmeden önce yerleşti. Sistem çalışıyor. Aynı zamanda 250.000 doların risk altındaki 94 milyar doların yüzde 0,27'si olduğu ve 256 hesap ile birkaç yüz XRP'ye sahip herhangi bir saldırganın diğer yüzde 99,73'ünü alabileceği de doğru. XRP mevcut piyasa değerinin bir kesriyken yazılan ödül tavanları, korudukları şeyle birlikte ölçeklenmiyor.
XRP sahipleri ve kripto kumarbazları bundan ne çıkarmalı
Düzeltme sunucu tarafında. Cüzdanınız, anahtarlarınız ve bakiyeniz hiç dahil olmadı ve sizin tarafınızda güncellenmesi gereken hiçbir şey yok. Arz sınırı tuttu çünkü hata yakalandı, değişmezlik çalıştığı için değil. Bu cümlenin ikinci yarısı hatırlanmaya değer olanıdır.
Burada üç pratik ders var. Birincisi, kodun on yıldır canlı olması artık bir güvenlik argümanı olmayı bıraktı. Yapay zeka destekli denetim, eski taşmaları bulmayı ucuzlatıyor ve saldırganlar araştırmacılarla aynı modelleri kiralıyor. İkincisi, özellik dağıtımları için tasarlanan yönetişim süreçleri kritik yamalar için tasarlanmamıştır. Ve her zincir, baskı altında doğaçlama yapmak yerine bir sonrakini nasıl ele alacağına önceden karar vermelidir. Üçüncüsü, hata ödülü tavanları güvence altına alınan değeri takip etmelidir. 2022'de cömert görünen sabit bir tavan, 2026'da bir davettir. Ayrıca, kumar kitlesi için alaka basit. XRP, kripto kumarhanelerde standart bir para yatırma rayı haline geldi çünkü bir sentin kesri karşılığında dört saniyede sonuçlanıyor. Ve bu hız, ledger'ın kurallarının doğru olmasına bağlıdır. CryptoCasino.Vegas dahil ödemeleri otomatikleştiren platformlar, bir XRP çekimi bir insan bakmadan tamamlandığında her seferinde zincirlerin değişmezliklerine güveniyor. Bu değişmezlikler bu sefer bir araştırmacı ve gece boyunca çalışan bir yapay zeka ajanı sayesinde tuttu ve bu, 100 milyar sınırının hiç belli etmediğinden daha ince bir marj.
Her iki taşma konumunu ve onların yerini alan sertleştirilmiş aritmetiği içeren tam teknik dökümü XRPL Foundation'ın xrpld 3.4.1 için güvenlik açığı açıklama raporunda bulabilirsiniz.
