Nel mondo delle criptovalute l'offerta fissa è spesso percepita come una garanzia sacra, quasi l'equivalente digitale dell'oro in cassaforte. Tuttavia, una vulnerabilità nello XRP Ledger, nascosta dal 2015 anno, ha mostrato quanto possa essere fragile questa certezza: un bug nel motore di pagamento permetteva di creare XRP spendibili oltre il limite di 100 miliardi di monete.
I ricercatori Cayden Liao e Veria AI hanno scoperto il problema attraverso il programma di bug bounty il 22 settembre 2026. RippleX ha riprodotto l'attacco su un server di test e ha confermato che un malintenzionato poteva generare nuovi token sfruttando l'overflow di un intero a 64 bit nella somma di numerose offerte sull'exchange integrato. L'acquirente avrebbe pagato una somma irrisoria, mentre i venditori avrebbero ricevuto l'intero importo: la differenza si trasformava in XRP "nuovi", che poi potevano essere spesi.
Tutti i 100 miliardi di XRP sono stati creati al lancio della rete nel 2012, e il protocollo non prevedeva originariamente alcuna emissione aggiuntiva. Il bug è rimasto inosservato per un decennio, perché le transazioni ordinarie non si avvicinavano mai al limite di overflow. Il controllo "senza creazione di XRP" si basava sulla stessa aritmetica e anch'esso lasciava passare l'anomalia, mentre il limite sul saldo di un singolo account veniva aggirato distribuendo i fondi su centinaia di indirizzi.
La correzione è stata rilasciata in xrpld 3.4.1 già il 25 settembre, in via d'emergenza, senza il consueto voto dei validatori. Oltre il 80 % dei nodi si è aggiornato lo stesso giorno. Gli sviluppatori non hanno trovato tracce di sfruttamento sulle reti pubbliche, ma il fatto stesso che la vulnerabilità sia esistita così a lungo fa riflettere: chi controlla davvero le regole secondo cui "funzionano" i nostri soldi digitali?
Per i detentori di XRP e di altri cripto-asset, la vicenda ricorda una verità semplice: la fiducia nel codice non è un'astrazione, ma un calcolo quotidiano dei rischi. I bug bounty e le patch rapide funzionano, ma non eliminano la necessità di diversificare e di capire che persino le regole "immutabili" a volte richiedono l'intervento umano.
Alla fine l'aggiornamento ha rafforzato la protezione, aggiungendo un controllo dell'overflow e ampliando il contatore dell'invariante. La lezione principale per chiunque detenga asset su una blockchain: l'affidabilità di un sistema si misura non solo dai suoi successi passati, ma anche dalla prontezza con cui corregge le crepe nascoste.
