Ripple publicou um relatório de divulgação de vulnerabilidades em 23 de março de 2026, detalhando duas falhas no XRP Ledger (XRPL) descobertas em junho de 2025 que poderiam ter impedido o consenso da rede se um validador de lista de nós única (UNL) tivesse sido comprometido.
As vulnerabilidades, reportadas pela empresa de segurança blockchain Common Prefix, foram corrigidas na versão rippled 3.0.0, lançada em 9 de dezembro de 2025, com as correções testadas e validadas em outubro de 2025. A divulgação segue protocolos de divulgação responsável e descreve as causas técnicas, cenários de impacto e medidas de remediação implementadas para proteger a disponibilidade da rede.
Visão Geral das Vulnerabilidades e Impacto
Descoberta e Relato
Nikolaos Kamarinakis, da Common Prefix, reportou as vulnerabilidades por meio de uma submissão de divulgação responsável em 9 de junho de 2025. As equipes de engenharia da Ripple validaram o relatório com uma prova de conceito independente que reproduziu ambas as falhas em uma rede de teste separada.
Versões Afetadas
As vulnerabilidades afetaram as versões do rippled até 2.6.2, o cliente de software que alimenta o XRP Ledger. Ambas as correções foram incorporadas na rippled 3.0.0.
Impacto Potencial
As vulnerabilidades exigiam que um validador UNL — um dos aproximadamente 35 nós confiáveis que participam do consenso — fosse comprometido. Embora seja difícil comprometer um validador UNL, pois esses nós geralmente se escondem atrás de nós proxy e comunicam-se apenas com esses, os pesquisadores observaram que não era impossível.
Se explorado, um validador comprometido poderia manipular dados de transações em conjuntos de transações, causando a falha de todos os demais validadores que recebessem a mensagem modificada. Essas falhas poderiam ser acionadas repetidamente até que o validador comprometido fosse removido da UNL, potencialmente parando o consenso da rede.
Detalhes Técnicos
Vulnerabilidade 1: Comparação de Transações
A primeira vulnerabilidade surgiu de como os validadores comparam conjuntos de transações durante o consenso. Quando um validador recebe um conjunto de transações de outro validador, ele compara esse conjunto com o seu e identifica transações contestadas. Um validador comprometido poderia alegar que uma transação existia em um nó dentro do SHAMap onde na verdade não estava. Qualquer validador que recebesse o conjunto de transações malicioso travaria ao tentar localizar o ID da transação usando o ID de nó inválido.
Vulnerabilidade 2: Encaminhamento de Transações
A segunda vulnerabilidade explorou o mecanismo de relay para transações contestadas. Um validador comprometido poderia enviar um conjunto de transações em que os dados da transação fossem um hash arbitrário. Quando validadores receptores identificassem isso como uma transação contestada e tentassem relayá-la, realizariam uma verificação para determinar se era uma pseudo transação. Os dados inválidos no conjunto de transações causariam a falha do validador durante essa inspeção.
Remediação e Correções
Implementação da Correção
Para resolver a primeira vulnerabilidade, os desenvolvedores adicionaram uma verificação extra para confirmar que uma transação pode ser encontrada no nó onde a proposta indicava que ela estaria. Para a segunda vulnerabilidade, foi adicionado um manipulador try-catch para gerenciar exceções lançadas ao inspecionar transações maliciosas.
Testes e Validação
A Ripple implantou uma versão modificada do rippled em sua plataforma de testes para simular um validador UNL comprometido. Sem as correções, ambos os ataques causariam a falha de todos os nós que recebessem mensagens maliciosas. Após aplicar ambas as correções, os nós que recebiam mensagens manipuladas não travaram mais.
Linha do Tempo
- 9 de junho de 2025: Descoberta inicial e submissão do relatório
- 10 de julho de 2025: Implantação do ambiente de testes
- 6 de agosto de 2025: Primeira vulnerabilidade reproduzida
- 11 de agosto de 2025: Segunda vulnerabilidade reproduzida
- 19 de agosto de 2025: Correções criadas em repositório privado
- 10 de outubro de 2025: Common Prefix testou as correções
- 16 de outubro de 2025: Common Prefix aprovou as correções
- 9 de dezembro de 2025: Correções lançadas na rippled 3.0.0
- 23 de março de 2026: Publicação do relatório de divulgação de vulnerabilidades
Melhorias de Segurança
A Ripple delineou iniciativas contínuas de segurança para fortalecer a postura de segurança do XRPL, incluindo auditorias de segurança ampliadas para códigos não lançados, revisões de código assistidas por IA, hackathons e aumento de incentivos de bug bounty.
Perguntas Frequentes
Quais vulnerabilidades foram descobertas no XRP Ledger?
Duas vulnerabilidades foram descobertas nas versões do rippled até 2.6.2 que poderiam ter impedido o consenso da rede se um validador UNL fosse comprometido. A primeira envolvia buscas inválidas de ID de transação durante a resolução de disputas, e a segunda envolvia dados de transação malformados causando falhas durante verificações de relay.
Essas vulnerabilidades foram exploradas?
Não. As vulnerabilidades foram descobertas por meio de divulgação responsável pela Common Prefix, e as correções foram implantadas na rippled 3.0.0 em 9 de dezembro de 2025, antes de qualquer exploração conhecida.
O que é um validador UNL e por que é importante?
Um validador UNL (lista de nós única) é um nó confiável que participa do consenso do XRP Ledger. Aproximadamente 35 validadores compõem a UNL padrão. Comprometer um validador UNL é desafiador porque esses nós geralmente se comunicam por meio de nós proxy, mas os pesquisadores observaram que não era impossível. As vulnerabilidades exigiriam tal comprometimento para serem exploradas.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
