XRP Ledger Foundation dan RippleX mengungkap kerentanan pada payment engine XRP Ledger yang secara teoretis dapat menciptakan sekitar 18 triliun XRP yang dapat dibelanjakan dalam satu transaksi, jauh melampaui pasokan resmi ledger yang dirancang sebesar 100 miliar XRP. Kerentanan ini dilaporkan melalui program XRPL Bug Bounty pada 22 September 2026 dan telah diperbaiki pada versi xrpld 3.4.1 yang dirilis 25 September. Pengungkapan pada 9 Oktober 2026 menegaskan tidak ada bukti bahwa celah tersebut pernah dieksploitasi di jaringan publik maupun adanya XRP tidak sah yang tercipta.
Cara Kerja Bug Overflow di Payment Engine XRP Ledger
Menurut pengungkapan tersebut, payment engine dapat mengonsumsi penawaran (offer) dari order book ketika sebuah pembayaran melewati jalur perdagangan. Celah muncul ketika terjadi integer overflow yang tidak diperiksa saat menjumlahkan nilai dari banyak penawaran sekaligus. Begitu total penjumlahan melampaui batas maksimum tetap dari representasi bilangan bulat tersebut, nilainya berputar ke angka yang kecil alih-alih memicu kesalahan.
Ketidaksesuaian aritmetika itu menjadi penting karena mesin tetap membayar setiap pemilik penawaran sebesar nilai penuh secara individual, sementara pembeli hanya dibebani sebesar total yang telah berputar (wrapped) tadi. Selisihnya itulah yang berpotensi menjadi XRP yang baru tercipta. Invariant ledger yang menyatakan “tidak ada XRP yang diciptakan” juga berbasis aritmetika yang berputar dengan cara serupa, sehingga gagal mendeteksi perbedaan tersebut.
Kerentanan ini memengaruhi xrpld 3.4.0 dan versi-versi sebelumnya. Laporan menyebutkan celah tersebut kemungkinan telah ada sejak payment engine saat ini ditulis pada 2015. Untuk memicunya dibutuhkan penawaran yang dirancang secara khusus serta pembayaran yang disusun untuk mengonsumsi banyak penawaran sekaligus, sehingga bukan merupakan hasil yang terjadi secara kebetulan dari pembayaran atau perdagangan biasa.
Eksposur Teoretis Sebesar 18 Triliun XRP
Angka sekitar 18 triliun XRP menggambarkan apa yang secara teoretis dapat dihasilkan oleh kerentanan tersebut dalam satu transaksi. Jumlah itu kira-kira 180 kali lipat dari pasokan ledger yang dirancang sebesar 100 miliar XRP. Pengungkapan secara eksplisit menyatakan bahwa penyelidik tidak menemukan bukti adanya eksploitasi di jaringan publik maupun penciptaan XRP tanpa otorisasi.
Dengan demikian, ini merupakan risiko terhadap integritas pasokan, bukan pelanggaran pasokan yang telah terkonfirmasi. Pengungkapan yang tersedia juga tidak melaporkan adanya kompromi terkonfirmasi di jaringan publik atau dana yang hilang. Skala potensialnya tidak seharusnya disalahartikan sebagai peristiwa pasokan atau pasar yang benar-benar terjadi.
Perbaikan di xrpld 3.4.1 dan Bug Batch yang Terpisah
Pada xrpld 3.4.1, payment engine kini memeriksa potensi overflow saat menjumlahkan nilai penawaran dan menggagalkan jalur pembayaran yang terdampak jika totalnya melewati batas. Pengungkapan juga menyebutkan bahwa pemeriksaan keamanan “tidak ada XRP yang diciptakan” kini menggunakan penghitung yang lebih lebar, disertai penguatan pada kode penjumlahan saldo lainnya.
Versi xrpld 3.4.1 menjadi versi minimum yang diwajibkan setelah amendemen terbaru diaktifkan, dan rilis ini menambal bagian-bagian kritis XRP Ledger. Sebanyak dua bug diperbaiki dalam rilis tersebut. Bug kedua melibatkan validasi pembungkus transaksi bagian dalam pada transaksi Batch dan memengaruhi xrpld 3.3.0 serta 3.4.0. Amendemen BatchV1_1 tidak aktif di Mainnet saat masalah itu ditemukan. Isu tersebut terpisah dari overflow payment engine dan tidak boleh dibaca sebagai bukti bahwa kondisi yang sama memengaruhi kedua bug.
Pelajaran Keamanan dan Implikasinya
Pengungkapan ini menggambarkan pelajaran keamanan yang sempit namun penting: sebuah pemeriksaan keamanan dapat gagal jika ia mengulang aritmetika tidak aman yang sama seperti logika transaksi yang seharusnya diverifikasi. Persoalan praktisnya bukan semata bahwa perhitungan pembayaran dapat mengalami overflow, melainkan bahwa pemeriksaan independen yang dimaksudkan untuk melindungi integritas pasokan bisa mengalami overflow bersamaan.
Dengan perbaikan yang telah dikirimkan melalui xrpld 3.4.1 dan statusnya sebagai versi minimum yang diwajibkan, risiko spesifik ini telah ditutup. Namun kasus tersebut menyoroti pentingnya pengujian aritmetika pada lapisan verifikasi, karena pemeriksaan yang meniru kesalahan yang sama justru kehilangan fungsi pengamanannya.
