XRPL、"新規XRP発行"につながり得た重大な脆弱性を公表

CoinDeskによると、XRP Ledger（XRPL）は2026年10月9日、ソフトウェア上の脆弱性2件を公表した。うち1件は重大で、条件がそろえば攻撃者が新たなXRPを生成し、実際に使用できた可能性があるという。もう1件はネットワークのBatch（バッチ）取引機能に関するもので、取引検証を混乱させる恐れがあった。 公式報告では、決済エンジン（payment engine）の脆弱性は、9月25日にリリースされたxrpldのバージョン3.4.1で修正済み。公開ネットワーク上で悪用された痕跡は確認されていないとしている。 重大な脆弱性は、オーダーブック上で複数の指値（bids）をまたいで取引を執行する際、決済エンジンが必要なXRP量を算出する処理に影響する。集計額がシステムの最大サポート値を超えると、計算時にオーバーフローが起きる可能性があり、その結果、買い手に請求されるXRPが本来より少ない一方で、指値の保有者（bid owner）の口座にはより多くのXRPが計上され、実質的に新規XRPが生まれる形になり得る。 悪用には、異常に高い価格の注文を数百件並べたオーダーブックを事前に用意し、特定の支払い取引を実行する必要がある。通常の支払いや一般的な取引では発動しない。研究者が2026年9月22日、XRPLのバグバウンティプログラムを通じて報告し、RippleXのエンジニアリングチームが再現して、生成されたXRPが支出可能であることを確認したという。開発側は算術オーバーフローを防ぐチェック機構を追加し、無許可のXRP生成に対する防御を強化した。 もう1件の脆弱性は、複数の取引をまとめて送信できるXRPLのBatch取引機能に関するものだ。バッチ内の1取引が不適切な構造のフィールドを含んでいても、サーバーが受け入れて処理してしまう可能性がある。これにより、XRPLソフトウェアのバージョン差によって取引の有効性判断が分かれ、バリデーターが合意（コンセンサス）に到達できず、台帳の検証が阻害されるリスクが生じる。 報告では、この不具合は取引署名の回避や資金の直接的な盗難につながるものではないとしている。対応はfixBatchV1_2アメンドメントで行われ、取引が正しい構造を用いることを必須化した。脆弱性発見時点でBatch機能はメインネットで未有効化だったため、メインネットの口座や資金への影響はなかったとされる。 また、XRPLの開発者とバリデーター運用者は、修正準備のため当初のBatch提案への支持を撤回し、発動スケジュールをリセット。改訂版提案は支持を得て、報告公開と同日の2026年10月9日にメインネットで有効化された。今後はセキュリティテスト手順も見直し、リリース前にリリース候補版で過去報告の脆弱性を再検証し、修正が有効であることを確認する方針という。 XRP保有者向けには、2件とも対処済みで、重大な決済エンジンの脆弱性が公開ネットワークで悪用された証拠はないと説明。いずれの脆弱性も実際の資金損失やXRP供給量の増加を示すものではないとしている。修正は、決済エンジンがxrpld 3.4.1、Batch関連がfixBatchV1_2で対応済み。保有者が資金移動や秘密鍵の変更を行う必要はなく、主にXRPLサーバー運用者がネットワーク同期のため互換バージョンを適用することが求められる。 （参考）CoinPediaは、2017年以降、暗号資産・ブロックチェーン分野の情報を提供しており、EEAT（Experience, Expertise, Authoritativeness, Trustworthiness）に基づく編集基準で制作・ファクトチェックを行っているとしている。投資判断は自己責任で行う必要があり、記事内の見解は執筆者の個人的見解で、投資助言ではない。サイトにはスポンサー記事やアフィリエイトリンクが含まれる場合がある。