En el mundo de las criptomonedas, la oferta fija suele percibirse como una garantía sagrada, algo así como el equivalente digital del oro en una caja fuerte. Sin embargo, una vulnerabilidad en XRP Ledger que permaneció oculta desde 2015 demostró lo frágil que puede ser esa certeza: un error en el motor de pagos permitía crear XRP gastables por encima del límite de 100 mil millones de monedas.
Los investigadores Cayden Liao y Veria AI descubrieron el problema a través del programa de bug bounty el 22 de septiembre de 2026. RippleX reprodujo el ataque en un servidor de pruebas y confirmó que un atacante podía generar nuevos tokens aprovechando el desbordamiento de un entero de 64 bits al sumar múltiples ofertas en el exchange integrado. El comprador pagaba una suma ínfima y los vendedores recibían el importe completo: la diferencia se convertía en XRP «nuevos» que luego podían gastarse.
Los 100 mil millones de XRP se crearon al lanzarse la red en 2012, y el protocolo no contemplaba inicialmente emisión adicional alguna. El error pasó desapercibido durante una década porque las transacciones normales nunca se acercaban al límite de desbordamiento. La comprobación de «no crear XRP» se basaba en la misma aritmética y también dejaba pasar la anomalía, mientras que el límite de saldo de una sola cuenta se eludía distribuyendo los fondos entre cientos de direcciones.
La corrección se publicó en xrpld 3.4.1 ya el 25 de septiembre, con carácter de urgencia y sin la votación habitual de los validadores. Más del 80 % de los nodos se actualizaron ese mismo día. Los desarrolladores no hallaron rastros de explotación en las redes públicas, pero el mero hecho de que la vulnerabilidad existiera durante tanto tiempo invita a reflexionar: ¿quién controla en realidad las reglas bajo las que «funciona» nuestro dinero digital?
Para los tenedores de XRP y de otros criptoactivos, esta historia recuerda una verdad sencilla: la confianza en el código no es una abstracción, sino un cálculo diario de riesgos. Los bug bounties y los parches rápidos funcionan, pero no eliminan la necesidad de diversificar y de entender que incluso las reglas «inmutables» a veces requieren la intervención humana.
En definitiva, la actualización reforzó la protección al añadir una comprobación de desbordamiento y ampliar el contador del invariante. La principal lección para cualquiera que guarde activos en una blockchain es que la solidez de un sistema no se mide solo por sus éxitos pasados, sino también por su disposición a corregir rápidamente las grietas ocultas.
