XRP әрқашан бір қарапайым уәдемен сатылды: 2012 жылы бір блокта алдын ала өндірілген, майнингсіз және біртіндеп инфляциясыз 100 миллиард монеталық қатаң лимит. Он жылдан астам уақыт бойы бұл сан Bitcoin-нің баяу эмиссиясына қарсы негізгі аргумент болды. Енді белгілі болғанындай, бұл шек бүкіл уақыт бойы ешкім шынымен сынап көрмеген арифметикаға сүйеніп тұрған.
Қате 2015 жылдан бері төлем қозғалтқышының ордерлерді есептеу кодында жасырынған. Бір төлем XRP Ledger-дің ішкі биржасынан бірден көп ордерді жұтқан кезде, төленуге тиісті сома 64-биттік бүтін санмен есептелген. Жеткілікті мөлшерде абсурдты бағамен ордер жинаса болды — қорытынды сома толып кетіп, әлдеқайда кіші санға "оралатын". Сатушылар толық төлем алады, ал сатып алушы іс жүзінде ештеңе төлемейді. Осы екі сома арасындағы айырма — бұрын-соңды болмаған жаңа XRP дегенді білдіреді.
Мұны іс жүзінде жасау іс жүзінде шығынсыз болатын еді: RippleX бағалауынша, шабуылдаушыға бірнеше шотқа бөлінген резервке бар болғаны бірнеше жүз XRP және кәдімгі транзакция комиссиялары жеткілікті болар еді.
Осалдықты ішкі аудит емес, зерттеуші Cayden Liao Veria AI командасымен бірге тапты — 22 қыркүйекте XRPL баг-баунти бағдарламасы арқылы хабарлады. Әрі қарай оқиғалар орталықсыздандырылған желі үшін әдеттен тыс жылдам өрбіді: RippleX бір тәулік ішінде қатені қайталап, оны сын тұрғысынан қауіпті деп таныды, ал xrpld 3.4.1 патчы 25 қыркүйекте шықты — бұл кезде желінің әдеттегі хаттама түзету дауысы аттап өтілді, ол әдетте екі апта бойы 80%-дан астам сенімді валидатордың келісімін талап етеді. Таратылған басқаруымен мақтанатын желі үшін бұл саналы ерекшелік болды: тәуекел терезесін жабу әдеттегі процедураны күтуден маңыздырак болды.
Мәселе тек 9 қазанда, нақты түзетілгеннен екі апта өткен соң ғана жарияланды. XRPL Operations осалдықтың жария желіде пайдаланылғанына ешқандай дәлел таппадық деп мәлімдеді — бірақ бұны сырттан тексеру қиын, өйткені сәтті шабуыл жай ғана үлкен, мүлде қалыпты төлем болып көрінген болар еді.
Бұл бір ғана оқиға туралы емес. Бұл он жылдан асқан, тұрақты және болжамды ұсыныс идеясымен сатылатын жетілген блокчейннің өзінде ешкім шынымен сындырып көрмеген арифметика жасырылуы мүмкін екенін еске салады — баунти аңшысы оны жасағанша. Қатаң лимит тек оны шегіне дейін ешкім сынамаған кодтың беріктігіне тең.
