Un error de 2015 pudo imprimir XRP de la nada
Un fallo que arrastraba el XRP Ledger desde 2015 pudo haber creado XRP de la nada. Lo encontraron el investigador Cayden Liao y Veria AI, lo reportaron internamente el 22 de septiembre y quedó corregido en la versión 3.4.1 del software el día 25. El problema es que este tipo de agujeros no se mide por lo que pasó, sino por lo que pudo haber pasado.
El XRP tiene un tope fijo de 100.000 millones de monedas, creadas todas en 2012, y su software está construido para que no se puedan añadir más. El fallo rompía justo esa promesa. Un atacante habría podido generar cantidades nuevas y venderlas en los mercados, dinamitando de paso la credibilidad de una red que quiere vender precisamente escasez garantizada a bancos e instituciones.
El mecanismo era tan elegante como un sablazo. El atacante abría cientos de cuentas, cada una ofreciendo una mota de un token a cambio de una cantidad enorme de XRP, y luego enviaba un pago único que compraba todas las ofertas a la vez. La suma era demasiado grande para que el software la contara bien, así que las cuentas vendedoras cobraban completas y la compradora pagaba casi nada. El resultado: XRP que antes no existía y que después se podía gastar.
RippleX asegura que no hay rastro de que el fallo se explotara en ninguna red pública. La red ejecuta una comprobación después de cada transacción para verificar que no apareció XRP nuevo, pero esa prueba se habría basado en el total mal contado y no habría visto nada. El límite de recepción por cuenta tampoco servía de freno, porque el ataque repartía las monedas entre cientos de cuentas distintas.
Lo más grave es cuánto costaba montarlo. Unas pocas centenas de XRP para abrir las cuentas, casi todas recuperables, más las comisiones de red. Con ese presupuesto de baratija se podía intentar romper el límite de suministro del sexto activo más grande del sector. La red se salvó porque alguien miró donde nadie miraba, no porque nadie lo hubiera intentado.
