暗号通貨の世界では、固定供給はしばしば神聖な保証、まるで金庫に収められた金のデジタル版のように受け止められる。しかし、2015年から潜んでいたXRP Ledgerの脆弱性は、この確信がいかに脆いものであり得るかを示した。決済エンジンのバグにより、100十億枚の上限を超えて使用可能なXRPを生成できたのだ。
研究者のCayden LiaoとVeria AIは、22月2026日のバグバウンティプログラムを通じてこの問題を発見した。RippleXはテストサーバー上で攻撃を再現し、攻撃者が組み込み取引所で多数のオファーを合計する際の64ビット整数のオーバーフローを利用して新しいトークンを生成できることを確認した。買い手はごくわずかな金額を支払い、売り手は全額を受け取る——その差額が「新しい」XRPとなり、その後使用することができた。
100十億枚のXRPはすべて2012年のネットワーク開始時に作成され、プロトコルは当初から追加発行を想定していなかった。通常の取引がオーバーフロー境界に近づくことは決してなかったため、このバグは十年にわたり見過ごされていた。「XRPを生成しない」というチェックも同じ演算に依存しており、この異常を見逃していた。また、1アカウントの残高上限は数百のアドレスに分散することで回避された。
修正はxrpld 3.4.1の25月に緊急手順でリリースされた——通常のバリデータ投票を経ずに。80%以上のノードが同日に更新された。開発者は公開ネットワーク上での悪用の痕跡を発見しなかったが、脆弱性がこれほど長く存在していたという事実そのものが考えさせる：私たちのデジタルマネーが「機能する」ルールを実際に誰が支配しているのか、と。
XRPや他の暗号資産の保有者にとって、この話は単純な真理を思い起こさせる：コードへの信頼は抽象概念ではなく、日々のリスク計算である。バグバウンティと迅速なパッチは機能するが、分散化の必要性や、「不変」のルールでさえ時に人間の介入を必要とするという理解を無効にするものではない。
結局のところ、この更新はオーバーフローチェックを追加し、不変条件カウンターを拡張することで防御を強化した。ブロックチェーンで資産を保有するすべての人にとっての最大の教訓は、システムの信頼性は過去の成功だけでなく、隠れた亀裂を迅速に修正する用意があるかによっても測られるということだ。
