XRPL Ungkap Celah Kritis yang Berpotensi Menciptakan XRP Baru

CoinDesk melaporkan bahwa XRP Ledger (XRPL) pada 9 Oktober 2026 mengumumkan dua kerentanan perangkat lunak, termasuk satu celah kritis yang berpotensi memungkinkan penyerang menciptakan XRP baru yang dapat dibelanjakan. Kerentanan kedua terkait fitur transaksi Batch dan berisiko mengganggu proses validasi transaksi. Menurut laporan resmi, celah pada mesin pembayaran (payment engine) telah diperbaiki di xrpld versi 3.4.1 yang dirilis pada 25 September. XRPL menyatakan tidak ada bukti kerentanan tersebut pernah dieksploitasi di jaringan publik. Celah kritis ini berakar pada cara mesin pembayaran menghitung kebutuhan XRP saat mengeksekusi perdagangan yang melewati banyak penawaran (bids) di order book. Jika jumlah agregat melampaui nilai maksimum yang didukung sistem, perhitungan dapat mengalami overflow. Kondisi ini dapat membuat pembeli dikenai XRP lebih sedikit daripada jumlah yang dikreditkan ke akun pemilik bid, sehingga secara efektif "menciptakan" XRP baru. Eksploitasi disebut membutuhkan persiapan yang sangat spesifik: penyerang harus membangun order book dengan ratusan order berharga tidak wajar, lalu memicu transaksi pembayaran tertentu. Kerentanan ini tidak dapat dipicu oleh pembayaran atau transaksi biasa. Seorang peneliti melaporkan temuan tersebut pada 22 September 2026 melalui XRPL Bug Bounty Program. Tim engineering RippleX mereproduksi masalahnya dan mengonfirmasi bahwa XRP yang tercipta lewat celah ini dapat dibelanjakan. Perbaikan di versi 3.4.1 menambahkan mekanisme pemeriksaan untuk mencegah overflow aritmetika dan memperkuat proteksi terhadap pembuatan XRP tanpa otorisasi. Kerentanan kedua menyasar fitur Batch transaksi XRPL, yang memungkinkan pengguna mengirim beberapa transaksi sekaligus. Celah ini memungkinkan salah satu transaksi dalam batch berisi struktur field yang tidak semestinya, tetapi server tetap dapat menerima dan memprosesnya. Dampaknya, versi perangkat lunak XRPL yang berbeda bisa menilai validitas transaksi secara berbeda. Perbedaan penilaian ini berpotensi menghambat validator mencapai konsensus dan mengganggu validasi ledger. Laporan menekankan bahwa isu Batch tidak memungkinkan penyerang melewati tanda tangan transaksi atau mencuri dana secara langsung. XRPL menanganinya melalui amendemen fixBatchV1_2 yang mewajibkan struktur transaksi sesuai ketentuan. Saat kerentanan ditemukan, fitur Batch belum aktif di mainnet, sehingga laporan menyebut tidak ada akun maupun dana mainnet yang terdampak. Pengembang XRPL dan operator validator juga menarik dukungan terhadap proposal Batch versi awal untuk mengatur ulang jadwal aktivasi sambil menyiapkan perbaikan. Proposal revisi kemudian memperoleh dukungan dan diaktifkan di mainnet pada 9 Oktober 2026, bertepatan dengan publikasi laporan kerentanan. Proses pengujian keamanan pun akan disesuaikan: XRPL berencana menguji ulang kerentanan yang pernah dilaporkan pada versi release candidate guna memastikan perbaikan efektif sebelum rilis perangkat lunak. Bagi pemegang XRP, kedua kerentanan dinyatakan sudah ditangani. XRPL menyebut tidak ada bukti celah kritis mesin pembayaran dieksploitasi di jaringan publik. Laporan juga tidak menunjukkan adanya kerugian dana nyata atau peningkatan suplai XRP akibat kedua isu tersebut. Perbaikan mesin pembayaran tersedia di xrpld 3.4.1, sedangkan isu Batch diselesaikan melalui proposal fixBatchV1_2. Pemegang XRP tidak diminta memindahkan dana atau mengganti private key; pembaruan ini terutama relevan bagi operator server XRPL yang perlu menjalankan versi kompatibel agar tetap tersinkron dengan jaringan. Disclaimer CoinPedia: CoinPedia menyajikan pembaruan kripto dan blockchain sejak 2017, disusun oleh tim analis dan jurnalis dengan pedoman editorial berbasis EEAT (Experience, Expertise, Authoritativeness, Trustworthiness) serta pemeriksaan fakta dari sumber tepercaya untuk menjaga akurasi, transparansi, dan keandalan. Kebijakan ulasan bertujuan menjaga objektivitas saat merekomendasikan bursa, platform, atau alat. Disclaimer investasi: Semua opini dan wawasan dalam artikel ini merupakan pandangan pribadi penulis terkait kondisi pasar saat ini. Lakukan riset sendiri sebelum mengambil keputusan investasi. Penulis maupun penerbit tidak bertanggung jawab atas keputusan finansial Anda. Sponsorship dan iklan: Situs ini dapat memuat konten bersponsor dan tautan afiliasi. Iklan akan diberi label jelas, dan konten editorial tetap independen dari mitra periklanan.