Một lỗi trong công cụ thanh toán của XRP Ledger có thể cho phép tạo ra XRP có thể chi tiêu vượt quá giới hạn 100 tỷ. RippleX không tìm thấy bằng chứng về việc khai thác.
Theo một báo cáo bảo mật được công bố vào thứ Sáu, một lỗ hổng trong công cụ thanh toán của XRP Ledger có thể cho phép kẻ tấn công tạo ra XRP có thể chi tiêu từ hư vô. Lỗi này có thể đã tồn tại từ năm 2015 mà không bị phát hiện.
Nguồn cung tối đa của XRP được cố định ở mức 100 tỷ token, hiện được định giá khoảng $88.8 tỷ với giá $1.41. Bộ phận phát triển của Ripple, RippleX, tuyên bố rằng không tìm thấy bằng chứng về việc lỗ hổng bị khai thác.
Trong XRP Ledger, có một thị trường tích hợp cho phép các tài khoản đăng lệnh chào để trao đổi token này lấy token khác.
Theo báo cáo, kẻ tấn công có thể tạo ra vài trăm tài khoản. Mỗi tài khoản sẽ đặt lệnh chào một lượng rất nhỏ của một token để đổi lấy một lượng XRP rất lớn.
Sau đó, một khoản thanh toán có thể mua tất cả các lệnh chào cùng lúc. Tổng tích lũy của phần mềm sẽ vượt quá khả năng của bộ đếm, khiến nó đặt lại về một con số rất nhỏ, tương tự như đồng hồ đo đường vượt quá số đọc tối đa.
Các tài khoản bán nhận được thanh toán đầy đủ trong khi người mua hầu như không tốn gì. Một kiểm tra xác thực được thiết kế để phát hiện XRP mới được tạo ra phụ thuộc vào cùng một bộ đếm, do đó cũng không phát hiện ra sự chênh lệch.
Lỗ hổng được báo cáo bởi nhà nghiên cứu Cayden Liao và Veria AI thông qua chương trình tiền thưởng lỗi XRPL vào ngày 22 tháng 9.
Báo cáo tiết lộ lỗ hổng XRPL chính thức được công bố ngày 9 tháng 10 năm 2026.
— MartyParty (@martypartymusic) ngày 10 tháng 10 năm 2026
Điều gì đã xảy ra
Một nhà nghiên cứu (Cayden Liao và Veria AI) đã báo cáo một lỗi tràn số nguyên trong công cụ thanh toán thông qua chương trình XRPL Bug Bounty vào ngày 22 tháng 9 năm 2026. Lỗi ảnh hưởng đến xrpld 3.4.0 và các phiên bản trước đó…
Thông thường, các sửa đổi đối với quy tắc của XRP Ledger yêu cầu sự chấp thuận của hơn 80% người xác thực đáng tin cậy—các máy chủ xác minh giao dịch—trong khoảng thời gian hai tuần.
Bản vá, được bao gồm trong phiên bản phần mềm máy chủ 3.4.1 phát hành ngày 25 tháng 9, có hiệu lực ngay khi mỗi người vận hành cập nhật hệ thống của họ.
“Đây là lần đầu tiên một thay đổi trong xử lý giao dịch được cố tình phát hành theo cách này kể từ khi hệ thống sửa đổi được giới thiệu hơn mười năm trước,” RippleX cho biết.
Theo RippleX, một cuộc bỏ phiếu công khai sẽ tiết lộ lỗ hổng trong mã nguồn mở trong vài tuần, trong thời gian đó nó vẫn có thể bị khai thác. Hơn 80% người xác thực mặc định đã cập nhật phần mềm của họ vào ngày phát hành, trước khi mã của bản vá được công bố.
Việc tiết lộ đến một ngày sau khi người sáng lập Cyber Capital, Justin Bons, trong một cuộc tranh luận về phi tập trung hóa XRP với David Schwartz của Ripple, mô tả việc bán XRP là phi tập trung như 'lừa đảo.' Báo cáo nêu rõ rằng XRPL Foundation, RippleX và các người xác thực đã cùng nhau đưa ra quyết định.
RippleX tuyên bố rằng bỏ phiếu sẽ tiếp tục là quy trình tiêu chuẩn cho các sửa đổi trong tương lai.
Chia sẻ tới
Tuyên bố miễn trừ trách nhiệm: Nội dung bài viết đến từ bên thứ ba, chỉ mang tính tham khảo và không phải lời khuyên đầu tư. Tiền mã hóa và các sản phẩm tài chính khác có rủi ro biến động giá lớn, vui lòng cân nhắc kỹ trước khi quyết định.
Người sáng lập Avalanche cảnh báo AI có thể tìm ra lỗi của XRP Ledger trước khi phá vỡ mã hóa, kêu gọi tập trung vào chất lượng mã.
Các quỹ ETF Ethereum giao ngay của Mỹ chứng kiến 56,1 triệu USD rút ra vào ngày 9/10, đánh dấu ngày thứ chín liên tiếp dòng vốn chảy ra, trong khi lệnh bán khống ETH đạt 5 tỷ USD.
Mark Karpelès đã phát hiện một chip gián điệp ẩn trong ví Ledger niêm phong từ Malaysia có thể đánh cắp các cụm từ khôi phục.
Tại X Space của XT8, COO của XT Exchange Arman Achmed cho rằng một tỷ người dùng tiếp theo sẽ đến từ những trải nghiệm tiền mã hóa dễ dàng hơn, nhanh hơn, chứ không phải từ việc giáo dục blockchain nhiều hơn.