XRPレジャーでXRP不正生成の脆弱性を修正、通常の投票手続きを省略し緊急対応

固定供給量を超えるXRPの生成リスク、悪用の証拠なし XRPレジャー（XRP Ledger：XRPL）のサーバーソフトウェア「xrpld」で、暗号資産（仮想通貨）「XRP」を不正生成できる脆弱性が修正された。修正の詳細は […]

2026.10.13

固定供給量を超えるXRPの生成リスク、悪用の証拠なし
関連ニュース

固定供給量を超えるXRPの生成リスク、悪用の証拠なし

XRPレジャー（XRP Ledger：XRPL）のサーバーソフトウェア「xrpld」で、暗号資産（仮想通貨）「XRP」を不正生成できる脆弱性が修正された。修正の詳細は、10月9日に公開された公式開示レポートで明らかになった。

米リップル（Ripple）の開発部門リップルX（RippleX）とXRPL財団（XRP Ledger Foundation）は、連携して修正版「xrpld 3.4.1」を9月25日に緊急リリースした。開示レポートによると、公開ネットワークで脆弱性が悪用された証拠は見つかっていない。

XRPは、XRPLの立ち上げ時に1,000億XRPが作成され、追加発行を認めない設計となっている。今回の脆弱性は、この制限を回避し、総供給量を大きく上回るXRPを生成できるものだった。

XRPを不正生成できる脆弱性の原因は、決済エンジンが複数の注文をまとめて処理する際に生じる「整数オーバーフロー（桁あふれ）」だ。XRPの合計額が計算可能な上限を超えると、計算結果が小さな値に巻き戻る不具合があった。その結果、注文の出し手には全額が支払われる一方、買い手には少額しか請求されず、差額のXRPを不正生成できたという。

不正生成を検知する安全確認機能にも同様の計算不具合があり、異常を検知できなかったという。この脆弱性は2015年から存在していたとみられると開示レポートでは説明されている。ただし、悪用には意図的に組まれた多数の注文が必要で、通常の送金や取引で偶然発生するものではないという。

研究者のケイデン・リャオ（Cayden Liao）氏らは、ソフトウェアの脆弱性を検出するAI「ベリアAI（Veria AI）」を用いて発見した不具合を、9月22日にXRPLのバグ報奨金プログラムを通じて報告した。リップルXのエンジニアリングチームは、ローカル環境で不正生成したXRPを使用できることも確認し、重大度を「クリティカル」に引き上げた。

なおベリアAIの開発元であるベリア・ラボ（Veria Labs）は、同AIがローカルネットワークで動作する実証コードも作成したと説明している。同社は、XRPLのバグ報奨金プログラムで上限額の25万ドルを受領したという。

XRPLでは通常、取引処理のルール変更に「アメンドメント」と呼ばれる手続きが用いられる。取引の検証を担う信頼されたバリデーターの80％超の支持が2週間続くと、全サーバーが同じレジャー（台帳）の処理から新ルールに切り替わる。

今回のXRP不正生成に対する修正は、この手続きを経ず、各サーバーが「xrpld 3.4.1」に更新した時点で有効になった。開示レポートでは、通常の手続きでは修正内容の公開から有効化まで数週間、脆弱性が明らかになった状態で悪用可能な期間が残るためと説明されている。

修正版の公開当初、開発チームはソースコードを一時非公開とし、実行ファイルを先に配布した。その後、ソースコードも公開されている。

この対応方針は、XRPL財団やリップルX、バリデーターらが協議して決めたという。開示レポートでは、更新の移行期間に悪用が試みられた場合、新旧サーバーで処理結果が分かれ、一部サーバーの同期喪失やネットワーク停止につながるリスクもあったと説明されている。

修正版では、決済エンジンに計算の上限超過を検知する処理が追加された。不正生成を検知する安全確認機能でも、より大きな数値を扱えるように計算方式が変更された。

一方、同じリリースに含まれるバッチ（Batch）機能の別の脆弱性修正「fixBatchV1_2」は、通常のアメンドメント投票を経て10月9日に有効化された。バッチは、複数の取引をまとめて提出できる機能だ。XRP不正生成に対する緊急修正とは異なる手続きで対応された。

バッチ機能では、2026年2月にも別の重大な不具合が見つかり、メインネットで有効化される前に無効化されていた。その後、問題を修正したアメンドメント「BatchV1_1」が8月6日公開の「xrpld 3.3.0」に実装されたが、新たな問題が確認されたため、3.4.1で追加修正が行われた。

3.4.1の公開時には、XRPLの運用情報を発信する「XRPレジャー・オペレーションズ（XRP Ledger Operations）」が、バリデーターとノード運用者に早期更新を要請していた。「fixBatchV1_2」の有効化後には、旧版サーバーがネットワークとの同期を維持できなくなると説明されていた。

参考：XRPL公式開示レポート・修正版の公開告知・ベリアラボ
画像：PIXTA