Trong thế giới tiền mã hóa, nguồn cung cố định thường được coi như một bảo đảm thiêng liêng, tựa như bản sao kỹ thuật số của vàng trong két sắt. Tuy nhiên, một lỗ hổng trong XRP Ledger ẩn náu từ năm 2015 đã cho thấy niềm tin ấy có thể mong manh đến nhường nào: một lỗi trong động cơ thanh toán cho phép tạo ra XRP có thể chi tiêu vượt quá giới hạn 100 tỷ coin.
Các nhà nghiên cứu Cayden Liao và Veria AI đã phát hiện vấn đề qua chương trình bug bounty 22 tháng Chín năm 2026. RippleX đã tái hiện cuộc tấn công trên máy chủ thử nghiệm và xác nhận rằng kẻ tấn công có thể tạo ra token mới bằng cách lợi dụng tràn số nguyên 64 bit khi cộng dồn nhiều lệnh chào mua bán trên sàn giao dịch tích hợp. Người mua sẽ trả một khoản tiền nhỏ bé, còn người bán nhận đủ — phần chênh lệch biến thành XRP «mới», sau đó có thể được chi tiêu.
Toàn bộ 100 tỷ XRP đã được tạo ra khi mạng lưới khởi chạy vào năm 2012, và giao thức ban đầu không dự tính việc phát hành thêm. Lỗi này đã tồn tại âm thầm suốt một thập kỷ, bởi vì các giao dịch thông thường chưa bao giờ tiến gần đến ranh giới tràn số. Cơ chế kiểm tra «không tạo XRP» dựa trên cùng phép tính ấy và cũng bỏ qua dị thường, còn giới hạn số dư của một tài khoản thì bị lách qua bằng cách phân tán sang hàng trăm địa chỉ.
Bản vá đã được phát hành trong xrpld 3.4.1 vào ngày 25 tháng Chín — theo quy trình khẩn cấp, không qua cuộc bỏ phiếu thông thường của các validator. Hơn 80 % node đã cập nhật ngay trong ngày hôm đó. Các nhà phát triển không tìm thấy dấu vết khai thác trên các mạng công khai, nhưng chính việc lỗ hổng tồn tại lâu đến vậy khiến người ta phải suy nghĩ: ai thực sự kiểm soát những quy tắc mà đồng tiền kỹ thuật số của chúng ta «vận hành» theo?
Đối với những người nắm giữ XRP và các tài sản mã hóa khác, câu chuyện này nhắc nhở một chân lý đơn giản: niềm tin vào mã nguồn không phải là điều trừu tượng, mà là việc tính toán rủi ro hằng ngày. Bug bounty và các bản vá nhanh có tác dụng, nhưng chúng không xóa bỏ nhu cầu đa dạng hóa và hiểu rằng ngay cả những quy tắc «bất biến» đôi khi cũng cần đến sự can thiệp của con người.
Cuối cùng, bản cập nhật đã củng cố khả năng bảo vệ bằng cách thêm kiểm tra tràn số và mở rộng bộ đếm bất biến. Bài học lớn nhất cho bất kỳ ai nắm giữ tài sản trên blockchain: độ tin cậy của một hệ thống không chỉ được đo bằng những thành công trong quá khứ, mà còn bằng sự sẵn sàng nhanh chóng sửa chữa những vết nứt ẩn giấu.
