دفتر حسابات XRP يكشف عن ثغرة حرجة كان يمكن أن تتيح إصدار XRP جديد

كشف دفتر حسابات XRP ‏(XRPL) في 9 أكتوبر 2026 عن ثغرتين برمجيتين، إحداهما مصنّفة حرجة وكان من الممكن أن تُمكّن مهاجمين من إنشاء وحدات XRP جديدة قابلة للإنفاق. أما الثغرة الثانية فارتبطت بميزة معاملات "Batch"، وكان يمكن أن تؤثر في عملية التحقق من المعاملات. وبحسب التقرير الرسمي، جرى إصلاح خلل "محرك الدفع" ضمن إصدار xrpld رقم 3.4.1 الذي صدر في 25 سبتمبر. وأكد XRPL أنه لا توجد أي أدلة على استغلال الثغرة في أي شبكة عامة. ثغرة محرك الدفع: خطر إنشاء XRP جديد تمحورت الثغرة الحرجة حول طريقة احتساب محرك الدفع لكمية XRP المطلوبة لتنفيذ صفقات تمر عبر عروض متعددة داخل دفتر الأوامر. وعندما يتجاوز المجموع سقف القيمة القصوى التي يدعمها النظام، قد يحدث في الحسابات "overflow"، ما يؤدي إلى خصم مقدار من XRP من المشتري أقل من إجمالي ما يُقيد لحساب مالكي العروض. وبذلك يمكن أن ينشأ XRP جديد بشكل فعلي. يتطلب استغلال الخلل إعداد دفتر أوامر مُحكم يتضمن مئات العروض بأسعار مرتفعة على نحو غير معتاد، ثم تنفيذ معاملة دفع محددة. وأوضح التقرير أن المدفوعات أو التداولات الاعتيادية لا تُفعّل هذا السيناريو. تم الإبلاغ عن المشكلة عبر برنامج مكافآت اكتشاف الثغرات الخاص بـ XRPL في 22 سبتمبر 2026. وتمكن فريق هندسة RippleX من إعادة إنتاج الخلل وتأكيد أن أي XRP يتم إنشاؤه بهذه الطريقة سيكون قابلاً للإنفاق. وعالج الإصدار 3.4.1 المشكلة عبر إضافة فحوصات تمنع تجاوز الحدود الرقمية وتعزيز ضوابط الحماية لمنع إنشاء XRP غير مُصرح به. ثغرة ثانية تخص معاملات Batch تعلقت الثغرة الأخرى بميزة "Batch" التي تتيح إرسال عدة معاملات ضمن دفعة واحدة. وقد سمح الخلل بأن تحتوي معاملة داخل الدفعة على حقل مُشكّل بشكل غير صحيح، مع إمكانية أن يقبل الخادم المعاملة ويعالجها. ونتيجة لذلك، قد تختلف إصدارات برامج XRPL في تقييم صلاحية المعاملة، وهو ما قد يعرقل وصول المدققين إلى الإجماع ويؤدي إلى انقطاع في التحقق من الدفتر. وأشار التقرير إلى أن هذه الثغرة لا تتيح تجاوز التواقيع أو سرقة الأموال بشكل مباشر. وتمت معالجتها عبر التعديل fixBatchV1_2 الذي يفرض البنية الصحيحة للمعاملات. كما أوضح التقرير أن ميزة Batch لم تكن مفعلة على الشبكة الرئيسية عند اكتشاف الخلل، لذلك لم تُسجَّل حسابات أو أموال متأثرة على "mainnet". تفعيل إصلاح Batch على الشبكة الرئيسية سحب مطورو XRPL ومشغلو المدققين دعمهم لتعديل Batch الأصلي لإعادة ضبط جدول تفعيله ريثما يجري تجهيز الإصلاح. وحصل التعديل المصحح على الدعم وتم تفعيله على الشبكة الرئيسية في 9 أكتوبر 2026، وهو اليوم نفسه الذي نُشر فيه تقرير الثغرات. وتضمن التقرير أيضاً تحديثاً لإجراءات اختبار الأمان؛ إذ يخطط XRPL لإعادة اختبار الثغرات المُبلَّغ عنها على إصدارات "release candidates" للتأكد من فعالية الإصلاحات قبل إطلاق البرمجيات. ما الذي يهم حاملي XRP؟ أفاد XRPL بأن الثغرتين تم التعامل معهما، ولا توجد أدلة على استغلال ثغرة محرك الدفع على أي شبكة عامة. كما لا يثبت التقرير وقوع خسائر فعلية أو زيادة في معروض XRP بسبب أي من الخللين. يتضمن إصدار xrpld 3.4.1 إصلاح محرك الدفع، بينما تمت معالجة مسألة Batch عبر تعديل fixBatchV1_2. ولم يتضمن التقرير توصيات لحاملي XRP بنقل أموالهم أو تغيير مفاتيحهم الخاصة. ويظل التحديث مهماً لمشغلي خوادم XRPL لضمان توافق الإصدارات والبقاء متزامنين مع الشبكة.