XRP Ledger Dicht Een Lek Dat Ongeautoriseerd Tokens Kon Minten

In dit artikel:

Het XRP Ledger (XRPL) staat op het punt een kwetsbaarheid in de nieuwe DelegateSet-permissiestructuur te repareren. Accounts die van een tokenuitgever alleen toestemming kregen om tokens te vernietigen via de functie PaymentBurn, konden onder bepaalde omstandigheden ook nieuwe fungible tokens aanmaken. Die bevoegdheid gold bovendien voor alle tokens van een uitgever en kon niet tot één specifieke munt worden beperkt.

De kwetsbaarheid betreft uitsluitend door derden uitgegeven tokens op XRPL, zoals stablecoins en andere trust-line-tokens. De voorraad van de native munt XRP zelf wordt niet geraakt. Er is geen bewijs dat het lek is misbruikt, en er zijn geen getroffen uitgevers, gestolen bedragen of daders gemeld.

De voorgestelde oplossing, fixCleanup3_4_0, wordt door validators via het gebruikelijke stemproces geactiveerd. Op het moment van schrijven steunen 33 van de 35 trusted validators het amendement, oftewel 94,29 procent, en is al langer dan twaalf van de vereiste veertien dagen voldoende steun aanwezig. Als die steun aanhoudt, gaat de fix woensdag 4 november 2026 om 14:46 UTC, 15:46 Nederlandse tijd, live.

Het probleem staat los van de eerdere Batch-kwetsbaarheid, waarmee theoretisch grote hoeveelheden XRP konden worden gecreëerd. Die fout werd al op 9 oktober verholpen in xrpld 3.3.0; het huidige lek ontstond in de nieuwere DelegateSet-functionaliteit van xrpld 3.4.0. Voor gewone XRP-bezitters verandert er niets. Vooral uitgevers van XRPL-tokens moeten voorlopig voorzichtig omgaan met het toekennen van PaymentBurn-rechten.