XRP Ledger、"新規XRPの生成"につながり得る重大バグを公表

XRP Ledger（XRPL）は2026年10月9日、ソフトウェア上の脆弱性2件を公表した。このうち1件は、攻撃者が新たに発行されたかのように"利用可能なXRP"を生み出せた可能性がある重大な不具合。もう1件はネットワークのBatch（バッチ）取引機能に関わり、取引の検証手続きに支障を来す恐れがあった。 公式報告によると、支払いエンジンの不具合は9月25日公開のxrpld v3.4.1で修正済み。公衆ネットワークで悪用された痕跡は確認されていないという。 ■ 支払いエンジンの重大バグ：オーダーブック計算のオーバーフロー 重大脆弱性は、オーダーブック上の複数オファーをまたぐ取引を成立させる際、支払いエンジンが必要XRPを算出する処理に影響した。複数オファーの合算がシステムの上限値を超えると計算がオーバーフローし、買い手に請求されるXRPが過少になる一方、オファー提供者側にはより多くのXRPが付与される形となり、結果として新たなXRPが"生成"されたような状態になり得る。 悪用には、異常に高い価格設定のオファーを数百件積み上げた特殊なオーダーブックの準備と、特定の支払いトランザクションの実行が必要で、通常の送金や一般的な取引では発火しない。 この問題は2026年9月22日、XRPLのバグバウンティプログラム経由で研究者から報告された。RippleXのエンジニアリングチームが再現し、当該不具合で生成されたXRPが実際に支出可能であることも確認。xrpld v3.4.1では、計算のオーバーフローを防ぐチェックを追加し、無権限のXRP生成に対する防御策も強化した。 ■ Batch取引の不具合：実装差による合意形成リスク 2件目の脆弱性は、複数トランザクションをまとめて送信できるXRPLのBatch取引機能に関するもの。バッチ内のトランザクションが誤った構造のフィールドを含んでいても、サーバーが受け入れて処理してしまう可能性があった。 これにより、XRPLソフトウェアのバージョン差によって"当該トランザクションが有効か否か"の判断が食い違い、バリデータがコンセンサスに到達できず、台帳の検証が中断されるリスクが生じる。報告書は、署名を回避したり資金を直接盗むことはできないとしている。 XRPLはfixBatchV1_2アメンドメントで対応し、トランザクション構造の正当性を要件化した。脆弱性判明時点でBatch機能はメインネットで有効化されていなかったため、メインネット上で影響を受けたアカウントや資金は特定されていない。 ■ 修正版Batchアメンドメントは10月9日にメインネットで有効化 XRPLの開発者とバリデータ運用者は、修正準備のため既存のBatchアメンドメントへの支持を一旦取り下げ、発動タイムラインをリセット。その後、修正版が支持を得て、脆弱性レポートの公表日と同日の2026年10月9日にメインネットで有効化された。 あわせて、セキュリティ検証プロセスの見直しも示された。XRPLは今後、報告された脆弱性について、リリース前の候補版（release candidates）に対して再テストを実施し、修正が確実に機能することを確認してから公開する方針。 ■ XRP保有者が知っておくべき点 今回公表された2件はいずれも対処済みで、XRPLは重大な支払いエンジンの不具合が公衆ネットワークで悪用された証拠を確認していない。報告書は、実際の資金損失やXRP供給量の増加が発生したと断定していない。 支払いエンジンの修正はxrpld v3.4.1に含まれ、Batch関連はfixBatchV1_2アメンドメントで対応。XRP保有者に対して資金移動や秘密鍵の変更を求める内容ではない。影響が大きいのはXRPLサーバー運用者で、ネットワークとの同期を維持するため互換性のあるバージョンへの対応が必要となる。