Celah dalam perangkat lunak pembayaran milik XRP Ledger bisa memungkinkan penyerang menciptakan XRP yang bisa dibelanjakan secara instan, ujar laporan keamanan yang terbit pada Jumat. Bug ini nampaknya tidak terdeteksi sejak 2015.
Jumlah suplai XRP terbatas pada 100 miliar token, dan nilai token tersebut sekitar US$88,8 miliar pada harga US$1,41. RippleX, divisi pengembang Ripple, menyatakan mereka tidak menemukan tanda-tanda ada pihak yang pernah memanfaatkan celah ini.
Bagaimana Satu Pembayaran Bisa Menciptakan XRP Baru
XRP Ledger memiliki marketplace bawaan di mana akun bisa memasang penawaran untuk menukar satu token dengan token lain.
Menurut laporan tersebut, seorang penyerang bisa membuat beberapa ratus akun. Setiap akun akan menawar untuk menukar sejumlah kecil sebuah token dengan sejumlah besar XRP.
Satu pembayaran tunggal dapat langsung membeli semua penawaran itu sekaligus. Akumulasi perhitungan dalam perangkat lunak menjadi terlalu besar hingga melebihi batas penghitungnya dan kemudian beralih ke angka kecil, mirip seperti odometer yang melampaui batas maksimumnya.
Akun penjual menerima pembayaran penuh sedangkan pembeli hampir tidak membayar apa-apa. Pemeriksaan keamanan yang seharusnya mendeteksi pembuatan XRP baru juga menggunakan penghitung yang sama, sehingga turut meleset dalam mendeteksi celah ini.
Peneliti Cayden Liao dan Veria AI melaporkan celah ini melalui program bug bounty XRPL pada 22 September.
Official XRPL vulnerability disclosure report published October 9, 2026.
What happened
A researcher (Cayden Liao and Veria AI) reported an integer-overflow bug in the payment engine through the XRPL Bug Bounty program on September 22, 2026. It affected xrpld 3.4.0 and earlier…
— MartyParty (@martypartymusic) October 10, 2026
Alasan Ripple Melewati Proses Voting Validator XRP Ledger
Perubahan aturan di XRP Ledger biasanya perlu dukungan dari lebih dari 80% validator tepercaya, yaitu server yang memverifikasi transaksi, selama dua minggu berturut-turut.
Perbaikan ini, yang dirilis dalam perangkat lunak server versi 3.4.1 pada 25 September, langsung berlaku ketika tiap operator melakukan upgrade.
“Ini pertama kalinya perubahan pada proses transaksi dengan sengaja dirilis dengan cara seperti ini sejak sistem amendemen diperkenalkan lebih dari sepuluh tahun lalu,” terang RippleX.
RippleX menuturkan bahwa proses voting terbuka justru akan mengekspos bug tersebut di kode terbuka selama berminggu-minggu dan tetap bisa dieksploitasi. Lebih dari 80% validator default sudah melakukan upgrade di hari perilisan sebelum kode perbaikannya dipublikasikan.
Pengungkapan ini terjadi sehari setelah pendiri Cyber Capital, Justin Bons, menyebut penjualan XRP sebagai aset yang terdesentralisasi adalah “fraud”, dalam perdebatan soal desentralisasi XRP bersama David Schwartz dari Ripple. Laporan tersebut menyatakan XRPL Foundation, RippleX, dan para validator mengambil keputusan bersama.
RippleX ucapkan bahwa proses voting tetap menjadi aturan untuk perubahan di masa depan.