Falha no XRP permitia criar moedas infinitas desde 2015
Bug no XRP Ledger poderia gerar 18 trilhões de tokens em uma única transação. A falha existia desde 2015, mas só foi descoberta agora por IA.
Uma vulnerabilidade presente no código do XRP Ledger desde 2015 permitia que qualquer pessoa criasse 18 trilhões de tokens XRP com uma única transação. O bug, corrigido de forma silenciosa em setembro, só foi divulgado publicamente na última semana. A equipe que o descobriu recebeu US$ 250 mil da Ripple, o prêmio máximo do programa de recompensas por falhas do projeto.
O número é difícil de digerir: 18 trilhões de XRP equivalem a 184 vezes a oferta total da criptomoeda em circulação. Em termos financeiros, a falha colocava em risco cerca de US$ 94 bilhões, mais de 60 vezes o valor do maior hack já registrado no mercado cripto, o ataque à Bybit, que resultou em perdas de US$ 1,5 bilhão.
Como o bug de overflow funcionava no XRP Ledger
A vulnerabilidade explorava uma falha clássica em programação conhecida como overflow de inteiro. No XRP Ledger, os saldos são armazenados com um limite máximo fixo. Quando o mecanismo de pagamento somava os valores de um único pagamento que consumia muitas ofertas no livro de ordens, a soma ultrapassava esse limite.
Em vez de retornar um erro, o sistema fazia o valor “dar a volta” e registrar um número pequeno. Na prática, o mecanismo pagava integralmente cada proprietário de oferta no livro de ordens, mas cobrava do comprador apenas o total após o overflow. A diferença entre esses valores representava XRP que nunca deveria ter existido.
Com um conjunto de ofertas especialmente construídas e um único pagamento, um atacante poderia emitir novos tokens e gastá-los como qualquer outro XRP legítimo. Poderia, portanto, despejá-los no mercado aberto e provocar um colapso no preço do ativo. Como explicamos em nossa cobertura sobre segurança no mercado cripto, falhas desse tipo representam riscos sistêmicos que vão além do projeto individual.
11 anos sem detecção: o que isso diz sobre segurança em blockchains
O fato de a vulnerabilidade ter permanecido escondida por 11 anos levanta questões importantes sobre auditoria de código em projetos de grande porte. O XRP é a quinta maior criptomoeda por capitalização de mercado, com dezenas de bilhões de dólares em valor, e seu código é revisado por desenvolvedores e pesquisadores há mais de uma década.
Não há evidências de que o bug tenha sido explorado durante esse período. Mas a ausência de exploração conhecida não significa que a falha era inofensiva. Ela simplesmente não foi encontrada, nem por atacantes, nem por auditores humanos.
O XRP não está sozinho nesse tipo de situação. O Bitcoin enfrentou um problema semelhante em 2010, quando um bug permitiu a criação de 184,5 bilhões de bitcoins de forma indevida. Naquele caso, a falha foi explorada, forçando os desenvolvedores a realizar uma atualização emergencial e uma reorganização da rede para excluir o bloco inválido. A Zcash também revelou, em junho, que possuía uma vulnerabilidade que permitia a criação ilimitada de moedas.
Esses episódios reforçam um ponto que discutimos ao analisar os riscos estruturais do ecossistema cripto: mesmo projetos consolidados e amplamente auditados podem carregar falhas críticas por anos sem que ninguém perceba.
O papel da inteligência artificial na descoberta da falha
A vulnerabilidade foi identificada pela equipe da Veria Labs, que utilizou uma ferramenta própria de inteligência artificial para varrer o código do XRP Ledger. A empresa descreveu a descoberta como “o maior hack na história das criptomoedas que nunca aconteceu”.
De acordo com a Veria Labs, o recorde anterior de vulnerabilidade em termos de valor em risco pertencia à Polygon, que em 2021 corrigiu um bug que colocava US$ 24 bilhões sob ameaça. A falha no XRP quase quadruplicava esse número.
O uso de IA para auditoria de segurança é uma tendência crescente no setor. Ferramentas automatizadas conseguem analisar milhões de linhas de código e testar combinações de cenários que seriam inviáveis para equipes humanas. Esse caso demonstra como a intersecção entre IA e blockchain pode gerar valor concreto, não apenas em aplicações financeiras, mas na proteção da infraestrutura que sustenta o mercado.
Cronologia da correção e o que muda agora
A falha foi relatada à Ripple no dia 22 de setembro. No dia seguinte, já havia uma correção implementada. A atualização foi disponibilizada para os operadores de nós da rede no dia 25 de setembro. A divulgação pública só aconteceu semanas depois, seguindo o protocolo padrão de responsible disclosure, que visa evitar que atacantes explorem a falha antes que a correção seja amplamente adotada.
Para os detentores de XRP, a notícia tem dois lados. No curto prazo, a revelação de que uma falha desse calibre existiu por mais de uma década pode abalar a confiança. No entanto, o fato de que ela foi identificada, corrigida rapidamente e nunca explorada também pode ser lido como um sinal de maturidade do ecossistema de segurança do projeto.
O episódio reforça a importância dos programas de bug bounty no mercado cripto. O prêmio de US$ 250 mil pago pela Ripple é significativo, mas representa uma fração minúscula dos US$ 94 bilhões que estavam em risco. Para projetos que gerenciam bilhões em valor, investir em recompensas para pesquisadores de segurança não é custo. É seguro contra catástrofe.
Este conteúdo é informativo e educacional e não constitui recomendação de investimento. Rentabilidade passada não é garantia de resultados futuros.
