XRP Ledgerに2015年から存在した深刻な脆弱性が、2026年9月25日のソフトウェア更新で修正された。攻撃者はこのバグを悪用すると、実際には存在しないXRPを新たに作り出し、取引所で売却できた可能性がある。
発見者は研究者のCayden Liao氏とVeria AIだ。9月22日に内部報告され、RippleXのエンジニアが攻撃を再現して確認した。公開ネットワーク上で悪用された証拠は見つかっていない。
XRPの供給量は2012年の立ち上げ時に1000億枚で固定されており、それ以上増やせない設計が信頼の土台になっている。今回の脆弱性は、この固定供給の原則を根底から揺るがすものだった。
2015年から存在した深刻なバグ
XRP Ledgerは2012年に稼働を開始した分散型台帳で、発行済みのXRPは1000億枚に固定されている。ソフトウェアは追加発行ができない設計になっており、この供給上限がXRP Ledgerを利用する金融機関にとっての重要な前提となっている。
今回見つかった脆弱性は、この固定供給のルールを破れるものだった。攻撃者が悪用すれば、支払いの裏付けがないXRPを新たに作り出し、市場で売却することが理論上可能だった。供給上限への信頼が揺らげば、ネットワーク全体の価値基盤が損なわれる。
発見の経緯
このバグを発見したのは、研究者のCayden Liao氏とVeria AIだ。発見は2026年9月22日に内部報告された。RippleXのエンジニアはスタンドアロンサーバーで攻撃を再現し、新しく作られたXRPが後の取引で実際に使用できることを確認した。
バグの起源は2015年にさかのぼると考えられている。約10年間も気づかれなかったことになる。長期間潜伏していた理由は、攻撃の実行に特殊な条件が必要だったためだ。
修正は9月25日、詳細は非公開で実施
開発チームは9月25日にxrpld 3.4.1をリリースし、この脆弱性を修正した。修正内容はリリース時点では公表されなかった。
セキュリティ問題の詳細を伏せて修正するのは、一般的な慣行だ。ネットワーク参加者がソフトウェアを更新する前に攻撃手法が広まれば、未更新のノードが狙われるリスクがある。修正が行き渡るまでの時間稼ぎといえる。
無からXRPを生み出す攻撃の手口
攻撃の入り口はXRP Ledgerの内蔵取引所だった。この取引所では、アカウントがトークンを別のトークンと交換するオファーを提示できる。通常の分散型取引所と同じ仕組みだ。
内蔵取引所を悪用した仕組み
攻撃者は理論上、まず数百のアカウントを開設する。それぞれのアカウントで、ごく少量のトークンを異常に大量のXRPと交換するオファーを提示する。その後、1回の支払いで全てのオファーを一括購入する。
このとき、支払うべきXRPの総額が大きすぎて、ソフトウェアが正しく計算できなくなる。計算エラーの結果、売り手側のアカウントには全額が支払われる一方、買い手側のアカウントからはほとんど引き落とされない。
つまり、これまで存在しなかったXRPが攻撃者の手元に残る。無からXRPを生み出すことに成功するわけだ。攻撃に必要なコストは、数百のアカウントを開設するための数百XRPと取引手数料だけで、開設に使ったXRPの大半は回収できた。
なぜ2つの安全装置が機能しなかったのか
XRP Ledgerには、新しいXRPが出現していないか各取引後にチェックする仕組みが組み込まれている。しかし、このチェックは誤った計算結果に依存していたため、不正を検知できなかった。
もう1つの安全装置は、1つのアカウントが受け取れるXRPの上限だ。こちらも機能しなかった。攻撃が数百のアカウントに分散されていたため、どのアカウントも上限に引っかからなかったのだ。
2つの安全装置が、いずれも攻撃の分散戦略と計算エラーの前では無力だった。設計者が想定していなかった規模の取引が、チェックの盲点をついた形だ。
AI支援で発覚した一連の暗号資産バグ
今回のXRP Ledgerの脆弱性は、AIの支援によって発見された長年潜伏していた暗号資産のセキュリティ問題の1つだ。2025年7月以降、同様の事例が相次いでいる。
ColdcardとCore Lightningの事例
7月にはColdcardウォレットのバグが発見され、少なくとも1,367BTCが盗まれる事件につながった。またCore Lightningの脆弱性は、ビットコインのノード運用者に接続解除を呼びかける事態を引き起こした。
いずれも長期間にわたって発見されなかったバグで、AIによるコード解析が発見のきっかけになった。人間のレビューでは見落とされがちなパターンを、AIが効率的に洗い出せる時代に入っている。
ただし、攻撃者も同じAIツールを使って脆弱性を探す可能性がある。発見と悪用の競争は、これまで以上に激しくなるとみられている。
XRP Ledgerへの影響と今後の教訓
RippleXは公開ネットワーク上でこの脆弱性が悪用された証拠は見つかっていないと述べている。発見から修正までが3日間と迅速だったことも、実害を防いだ要因だろう。
重要なのは、約10年間も気づかれなかった点だ。固定供給は暗号資産の信頼の基盤であり、特にXRP Ledgerを利用する金融機関にとっては決定的に重要な前提だ。供給上限が破られる可能性があったという事実は、分散型台帳のセキュリティ監査の重要性を改めて示している。
AIを活用した脆弱性発見は、暗号資産のセキュリティ対策に新たな選択肢をもたらしている。一方で、見つかったバグの深刻度が高いほど、公開のタイミングと修正の順序が重要になる。今回のXRP Ledgerの対応は、そのバランスを取る好例といえるだろう。
この記事のポイント
- XRP Ledgerに2015年から存在した脆弱性が2026年9月25日に修正された
- 攻撃者は無からXRPを作り出し、取引所で売却できる可能性があった
- 発見者は研究者Cayden Liao氏とVeria AI、9月22日に内部報告された
- 公開ネットワークでの悪用の証拠は見つかっていない
- AIによる脆弱性発見が、暗号資産セキュリティの新たな潮流になっている
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。