XRP Ledger'daki Kritik Basım Açığı Kapatıldı

XRP Ledger (XRPL) geliştiricileri, 9 Ekim'de yayımladıkları güvenlik açığı raporunda ağın ödeme motorundaki kritik bir hatanın ayrıntılarını paylaştı. Hata, istismar edilseydi toplam arzın çok üzerinde harcanabilir XRP yaratılmasına imkân verebilirdi. Açık, 25 Eylül'de yayımlanan acil xrpld 3.4.1 sürümüyle kapatıldı; rapora göre herhangi bir genel ağda istismar edildiğine dair kanıt bulunmadı.

Teorik basılabilecek miktar

~18,45 Tn XRP

Hata ödülü

$250.000

xrpld 3.4.1 yayını

25 Eylül 2026

Batch aktivasyonu

9 Ekim 2026

Açığı bir yapay zekâ ajanı buldu#

Güvenlik şirketi Veria Labs'e göre şirketin yapay zekâ ajanı, XRPL yazılımını incelerken hatayı tespit etti ve yerel bir test ağında çalışan bir kavram kanıtı oluşturdu. Bulgu 22 Eylül'de XRPL hata ödül programı üzerinden Cayden Liao ve Veria tarafından bildirildi. RippleX, sorunu yeniden üretince önem derecesini kritik seviyeye yükseltti. Düzeltme 23 Eylül'de koda eklendi ve iki gün sonra 3.4.1 sürümüyle yayımlandı.

Veria'nın hesabına göre tek bir istismar işlemiyle yaklaşık 18,45 trilyon XRP yaratılabilirdi; bu, 100 milyar XRP'lik arzın yaklaşık 184 katı. The Block, ilgili kodun 2015'ten kalma olduğunu ve hatanın yaklaşık on yıldır sistemde bulunduğunu yazdı. Ripple, Veria'ya programın en yüksek ödülü olan 250.000 doları verdi. Düzeltme bir değişiklik oylaması (amendment) gerektirmeden, her sunucu güncellendiğinde devreye girdi; 25 Eylül itibarıyla varsayılan doğrulayıcı listesindekilerin %80'inden fazlası yeni sürümü çalıştırıyordu.

Batch özelliği gecikmeyle devreye girdi#

Raporda ikinci bir sorun da yer aldı. Birden fazla işlemin tek pakette yürütülmesini sağlayan Batch özelliğinde, iç işlemlerin doğrulanmasıyla ilgili bir hatanın uzlaşma (konsensüs) riski taşıdığı 22 Eylül'de anlaşıldı. Bunun üzerine Ripple dahil doğrulayıcılar 23-24 Eylül'de BatchV1_1 için verdikleri oyları geçici olarak "hayır"a çevirerek iki haftalık aktivasyon sayacını sıfırladı. Düzeltme (fixBatchV1_2) çoğunluk desteği alınca oylar yeniden "evet"e döndü ve iki değişiklik birlikte 9 Ekim'de ana ağda etkinleşti.

Batch hatası, bulunduğu sırada ana ağda henüz etkin olmayan bir özellikteydi. Rapora göre fon kaybı, anahtar ihlali ya da ana ağda hatalı işlenen bir işlem yaşanmadı. RippleX mühendislik yöneticisi J. Ayo Akinyele ise The Block'a yaptığı açıklamada yapay zekânın açıkların bulunma hızını temelden değiştirdiğini vurguladı.