No mundo das criptomoedas, a oferta fixa costuma ser vista como uma garantia sagrada, como o equivalente digital do ouro num cofre. No entanto, uma vulnerabilidade no XRP Ledger, escondida desde 2015, mostrou quão frágil essa certeza pode ser: um bug no motor de pagamentos permitia criar XRP gastável acima do limite de 100 bilhões de moedas.
Os pesquisadores Cayden Liao e Veria AI descobriram o problema por meio do programa de bug bounty em 22 de setembro de 2026. A RippleX reproduziu o ataque num servidor de teste e confirmou que um invasor poderia gerar novos tokens explorando o overflow de um inteiro de 64 bits ao somar diversas ofertas na exchange integrada. O comprador pagaria uma quantia irrisória, e os vendedores receberiam o valor integral — a diferença se transformava em XRP "novos", que depois podiam ser gastos.
Todos os 100 bilhões de XRP foram criados no lançamento da rede em 2012, e o protocolo originalmente não previa emissão adicional. O bug permaneceu despercebido por uma década, porque as transações comuns nunca chegavam perto do limite de overflow. A verificação "sem criação de XRP" baseava-se na mesma aritmética e também deixava passar a anomalia, e o limite de saldo de uma conta era contornado distribuindo os fundos por centenas de endereços.
A correção foi lançada no xrpld 3.4.1 já em 25 de setembro — em caráter emergencial, sem a votação habitual dos validadores. Mais de 80 % dos nós foram atualizados no mesmo dia. Os desenvolvedores não encontraram vestígios de exploração nas redes públicas, mas o simples fato de a vulnerabilidade ter existido por tanto tempo dá o que pensar: quem realmente controla as regras pelas quais o nosso dinheiro digital "funciona"?
Para os detentores de XRP e de outros criptoativos, a história lembra uma verdade simples: a confiança no código não é uma abstração, mas um cálculo diário de riscos. Os bug bounties e os patches rápidos funcionam, mas não dispensam a necessidade de diversificação e a compreensão de que até as regras "imutáveis" às vezes exigem intervenção humana.
No fim, a atualização reforçou a proteção, adicionando uma verificação de overflow e ampliando o contador do invariante. A principal lição para quem guarda ativos em blockchain: a confiabilidade de um sistema não se mede apenas pelos seus êxitos passados, mas também pela disposição de corrigir rapidamente fissuras ocultas.
