Bulanık açık mavi arka plan önünde parlak yüzeyde dik duran altın renkli madalyon; ön yüzde Ripple logosu, kenarında ripple coin XRP yazısı okunuyor (temsili fotoğraf)

XRP Ledger'ın ödeme motorunda, yoktan XRP basılmasına izin verebilecek bir hata bulundu; hatayı yapay zekâ ajanıyla bulan güvenlik şirketi Veria Labs, programın en yüksek ödülü olan 250.000 doları aldığını açıkladı. XRPL'nin raporuna göre hata 2015'ten beri ödeme motorunun kodunda duruyordu. Düzeltme 25 Eylül 2026'da yayımlanan xrpld 3.4.1 sürümüyle geldi. XRPL, 9 Ekim 2026'da yayımladığı raporda hatanın herhangi bir kamu ağında kötüye kullanıldığına dair kanıt bulmadığını açıkladı.

Veria Labs'e göre açık kötüye kullanılsaydı tek bir işlemle yaklaşık 18 trilyon XRP basılabilirdi. Yine Veria'ya göre XRP'nin toplam arzı başlangıçta 100 milyar XRP ile sınırlıydı.

XRP Ledger (XRPL), kripto para XRP'nin işlem gördüğü açık kaynaklı blokzincir ağı. Ağı çalıştıran sunucu yazılımı xrpld adını taşıyor. Ripple, XRP Ledger yazılımı için hata ödül programı yürütüyor. RippleX ise Ripple'ın XRP Ledger yazılımı üzerinde çalışan mühendislik birimi. Hata ödül programı, yazılımda açık bulup bildiren araştırmacılara para ödülü veren bir programdır.

Hata nasıl çalışıyordu

Hata, XRP Ledger'ın ödeme motorundaki bir tamsayı taşmasından kaynaklandı. Tamsayı taşması, bir toplamın yazılımın tutabildiği üst sınırı aşınca küçük bir sayıya dönmesi durumudur. Ödeme motoru, tek bir ödemede alım satım defterindeki çok sayıda teklifi aynı anda kullandığında bu tekliflerin tutarlarını toplar. Bu toplamada taşma kontrolü yoktu. XRPL'nin raporuna göre toplam üst sınırı aşınca küçük bir sayıya dönüyordu. Motor her teklif sahibine tutarın tamamını ödüyor, alıcıdan ise yalnız küçülen toplamı alıyordu. Aradaki fark ise hiç var olmaması gereken yeni XRP yaratıyordu. Ağda yeni XRP yaratılmadığını denetleyen yerleşik bir güvenlik kontrolü bulunuyordu. Ancak rapora göre bu kontrol de bakiyeleri aynı yöntemle topladığı için sorunu yakalayamadı.

XRPL raporuna göre saldırı, yüzlerce hesap ve teklifle, ardından bunların hepsini kullanan tek bir ödemeyle kurulabilirdi. Gerçek maliyet yalnızca birkaç yüz XRP'lik rezerv ve olağan işlem ücretleri olacaktı. XRPL'nin raporuna göre hata kazara tetiklenemezdi; çünkü gerçek kullanıcıların kabul etmeyeceği biçimde fiyatlanmış teklifler ve bunları tek seferde tüketen özel bir ödeme gerekiyordu. XRPL, hatanın kötüye kullanıldığına dair kanıt bulmadığını açıkladı. Hiçbir normal ödeme bu hesaplama sınırına yaklaşmadığı için hata uzun süre fark edilmedi. XRPL'nin raporuna göre hata, ödeme motorunun yazıldığı 2015'ten beri koddaydı. Veria Labs'e göre güvenlik kontrolü kodu 2017'de yazıldı ve sistemde yaklaşık on yıldır duruyordu.

Bildirimden düzeltmeye

Veria Labs'in yapay zekâ ajanı, ağı çalıştıran yazılımı tarayarak birbirine bağlanan iki hatayı buldu. Ajan, yerel bir test ağında çalışan bir saldırı denemesi hazırladı. Cayden Liao, X'teki yazısında tek başına düşük önemde olan iki hatanın birbirine bağlanmasının, açığın uzun süre fark edilmemesinin nedenlerinden biri olabileceğini yazdı.

Açık, 22 Eylül 2026'da hata ödül programı üzerinden bildirildi. RippleX aynı gün hatayı kendi test sunucusunda yeniden üretip doğruladı. Ekip, üretilen XRP'nin harcanabildiğini gördükten sonra önem derecesini kritik seviyeye yükseltti. Gizli yürütülen çalışmaların ardından düzeltme 23 Eylül 2026'da 3.4.1 sürümünün dalına eklendi. xrpld 3.4.1, 25 Eylül 2026'da acil sürüm olarak yayımlandı. Doğrulayıcı, ağdaki işlemleri onaylayan sunuculara verilen addır. Aynı gün doğrulayıcıların yüzde 80'inden fazlasının 3.4.1 ya da daha yeni bir sürümü çalıştırdığı açıklandı.

Normal koşullarda kural değişiklikleri için iki hafta süren doğrulayıcı oylaması bekleniyordu. Ancak bu düzeltme doğrulayıcı oylaması beklenmeden devreye girdi. XRPL'ye göre xrpld açık kaynak olduğu için düzeltmeyi içeren her sürüm hatanın yerini de gösterecekti; oylama beklenseydi açık haftalarca görünür kalacaktı. Bu yöntemin sunucular arasında kural uyuşmazlığı yaratma riski bulunuyordu ancak doğrulayıcıların hızlı geçişiyle sorun çözüldü. XRPL, 3.4.1 sürümünün kaynak kodunu sonradan yayımladığını açıkladı. Kapsamlı XRPL raporu 9 Ekim 2026'da yayımlandı.

Ödül ve ikinci hata

Veria Labs'e göre şirkete 8 Ekim 2026'da programın en yüksek ödülü olan 250.000 dolar verildi. Veria'ya göre bu tutar, tamamen bir yapay zekâ ajanının bulduğu bir açık için bildikleri kadarıyla en yüksek ödüldü. Ancak bu değerlendirme bağımsız kaynaklarca doğrulanmadı. XRPL raporunda ödül miktarı yer almıyor. Cayden Liao, ödülü Ripple ekibinin verdiğini yazdı.

Aynı sürüm, Batch özelliğindeki ikinci bir hatayı da kapattı. Batch, birden fazla işlemin tek bir paketle gönderilmesini sağlayan toplu işlem özelliğidir. Batch özelliği hata bulunduğunda ana ağda henüz etkin değildi. Bu hata zincir üzerinde bir kazanç sağlamıyor, yalnızca sunucuların anlaşamamasına yol açabiliyordu. Batch hatasında fon kaybı yaşanmadı; düzeltmesi 9 Ekim 2026'da ana ağda devreye girdi. The Block, hatayı ve Veria Labs'e verilen ödülü 11 Ekim 2026'da haberleştirdi.

Neler bilinmiyor

Veria Labs ile Cayden Liao tarafından açıklanan 250.000 dolarlık ödül miktarı XRPL'nin resmî raporunda yer almıyor. Veria'nın, bunun yapay zekâ ajanının bulduğu bir açık için verilen en yüksek ödül olduğu değerlendirmesi bağımsız olarak doğrulanmadı. Tek işlemle basılabileceği belirtilen 18 trilyon XRP hesabı Veria Labs'e ait olup XRPL raporunda kesin bir sayı açıklanmadı.

XRPL konuya dair yeni bir açıklama yaparsa haber güncellenecek.

Kaynaklar

Kapak görseli (temsili): XRP hatıra madalyonu. Fotoğraf: Forextime.com / Flickr, CC BY 2.0; 1200×675 için kırpıldı.