XRPレジャー（XRP Ledger、XRPL）は9日、暗号資産（仮想通貨）XRPを不正に生成できる重大な脆弱性の詳細を公表した。1回の取引で総供給量を大幅に超えるXRPを生成し、通常のXRPと同様に送金や売買に使える問題だった。修正は9月25日公開のソフトウェア「xrpld 3.4.1」に含まれている。

発見したセキュリティ企業Veria Labs（ベリア・ラボ）は、1回の取引で約18.45兆XRPを生成可能だったと試算した。これは当初の総供給量1000億XRPの約184倍に相当する潜在的な影響規模で、実際の不正発行量ではない。同社はAIエージェントが問題を発見し、ローカル環境で再現したと説明している。

問題は、支払い処理で多数の売買注文の金額を合算する際、64ビット整数の上限を超えると計算結果が小さな値に戻る点にあった。注文を出した各口座には満額が支払われる一方、買い手からは少額しか差し引かれず、差額のXRPが生成される。XRPの不正生成を防ぐ安全チェックにも同じ計算上の問題があった。

脆弱性は2015年に書かれた支払い処理のコードに由来し、約10年間存在していたとみられる。悪用には意図的に組み立てた数百の注文と、それらを一括で消費する支払いが必要だった。通常の送金や売買で偶発的に発動する問題ではなかった。

修正は、通常のバリデーター投票と2週間の待機期間を経ず、更新したサーバーで直ちに有効になる形で配布された。修正コードの公開後も悪用可能な状態が続くことを避けるため、ソースコードに先行してバイナリを配布した。リリース当日には、既定の信頼リストに含まれるバリデーターの80%超が更新した。

公式報告は「公共ネットワーク上でこの問題が悪用された証拠は見つかっていない」としている。

参考元：公式