Bug Berumur Satu Dekade di XRP Ledger Bisa Cetak 18 Triliun XRP. Ditambal tanpa Voting Amendemen

Pengembang XRP Ledger mengungkap bahwa mesin pembayaran jaringan itu menyimpan bug yang memungkinkan penyerang mencetak XRP dari nol, melampaui pasokan tetap 100 miliar token yang menjadi janji dasar aset tersebut. Menurut laporan pengungkapan kerentanan di XRPL.org, celah itu sudah ada sejak mesin pembayaran versi sekarang ditulis pada 2015.

Laporan itu terbit Jumat (9/10/2026), dua pekan setelah perbaikannya terpasang tanpa penjelasan. Bug dilaporkan lewat program bug bounty XRPL pada 22 September oleh peneliti Cayden Liao dan Veria AI, lalu ditambal dalam xrpld 3.4.1, perangkat lunak server XRP Ledger, yang dirilis 25 September. “Kami tidak menemukan bukti bahwa masalah ini dieksploitasi di jaringan publik mana pun,” tulis pengembang dalam laporan tersebut.

Penjumlahan yang Berputar Balik

Kesalahannya terletak pada penjumlahan. Saldo XRP disimpan sebagai bilangan bulat dalam satuan drop (1 XRP sama dengan 1 juta drop), dengan batas maksimum sebuah bilangan 64 bit. Ketika satu pembayaran menghabiskan banyak penawaran (offer) sekaligus di bursa bawaan XRP Ledger, mesin menjumlahkan XRP yang harus dibayar pembeli tanpa memeriksa luapan (overflow). Bila total itu melewati batas, angkanya tidak memicu galat, tetapi berputar balik menjadi angka kecil. Setiap penjual tetap dibayar penuh, sedangkan pembeli hanya ditagih sisa putaran tadi. Selisihnya adalah XRP yang seharusnya tidak pernah ada.

XRP Ledger sebenarnya punya pemeriksa keselamatan (invariant) yang memastikan tidak ada transaksi yang menciptakan XRP. Pemeriksa itu, menurut laporan, menjumlahkan perubahan saldo dengan cara yang sama, ikut berputar balik, dan akhirnya hanya melihat apa yang tampak seperti biaya transaksi biasa. Pemeriksa kedua, yang menolak saldo satu akun melebihi total pasokan, bisa dihindari dengan menyebar XRP hasil cetakan ke ratusan akun.

Ongkos serangannya kecil. Penyerang cukup membuka beberapa ratus akun, memasang penawaran yang menjual sedikit token buatan sendiri dengan harga XRP yang sangat besar, lalu mengirim satu pembayaran yang menyapu semuanya. Laporan menyebut biaya nyatanya beberapa ratus XRP untuk cadangan akun dan penawaran, yang kembali ketika objek-objek itu dihapus, ditambah biaya transaksi biasa. Laporan yang sama menegaskan serangan ini tidak mungkin terpicu tanpa sengaja, karena harga penawaran yang dibutuhkan tidak akan dipakai pedagang sungguhan.

Hitungan 18 Triliun

Laporan resmi hanya menulis bahwa penyerang bisa menciptakan XRP yang dapat dibelanjakan “jauh melampaui total pasokan” dalam satu transaksi tervalidasi. Angka persisnya datang dari Veria Labs, perusahaan rintisan pembuat agen AI untuk uji penetrasi, yang menerbitkan rincian teknis di blognya. Bukti konsep mereka memakai 256 penawaran yang masing-masing meminta 2^56 + 1 drop. Totalnya 2^64 + 256 drop, yang berputar balik menjadi hanya 256 drop. Para pemilik 256 penawaran itu menerima sekitar 18,45 triliun XRP, kira-kira 184 kali seluruh pasokan, dan menurut Veria serangan bisa diulang dengan akun-akun baru.

Hitungan dasarnya bisa dicek dengan kalkulator: 2^64 drop memang setara sekitar 18,45 triliun XRP. Yang perlu dibaca dengan jarak adalah bingkainya. Veria menyebut seluruh kapitalisasi pasar XRP, $94 miliar, “terancam”, dan menyebut temuannya, setahu mereka, kerentanan terbesar yang pernah ditemukan peretas topi putih. Itu klaim perusahaan yang menjual jasa keamanan, dan Veria sendiri mengakui tidak ada yang bisa menjual XRP sebanyak itu di harga pasar. Menurut data CoinGecko, Senin (12/10) pukul 06.04 WIB XRP diperdagangkan di sekitar US$1,41 (Rp25.210), dengan kapitalisasi pasar kira-kira US$88,9 miliar.

Catatan: Angka 18,45 triliun XRP dan “$94 miliar terancam” adalah hitungan Veria Labs, bukan angka dalam laporan resmi XRPL.

Agen AI dan Hadiah $250.000

Veria menulis bahwa agen AI-nya diarahkan ke rippled, nama lama xrpld, lalu menemukan kedua bug, merangkainya, dan membangun eksploit yang berjalan di jaringan lokal. Menurut kronologi di blog itu, agen menandai temuannya pada Senin (21/9), bukti konsep diselesaikan dan diperiksa Liao keesokan harinya, dan laporan masuk ke program bug bounty pada hari yang sama. “Kami menduga salah satu alasan tidak ada yang menangkap kerentanan ini adalah karena ia merangkai dua bug yang masing-masing berisiko rendah,” tulis Liao di X pada Sabtu, seperti dikutip The Block.

Veria mengaku dianugerahi hadiah maksimum program itu, $250.000, pada 8 Oktober, dan menyebutnya hadiah terbesar yang pernah dibayarkan untuk kerentanan yang sepenuhnya ditemukan agen AI. Perusahaan itu juga mengklaim bahwa agen pemrograman serbaguna yang diarahkan langsung ke kode rentan, setelah bug diungkap, tetap gagal menemukannya. Veria tidak menyebut model apa yang dipakai, sehingga klaim itu belum bisa diuji.

CoinDesk mencatat serangkaian celah lama yang terungkap dengan bantuan AI sejak Juli, termasuk bug dompet Coldcard yang berujung pencurian sedikitnya 1.367 BTC. Kepala Teknik RippleX J. Ayo Akinyele menulis di X pada Sabtu bahwa AI “secara mendasar mengubah seberapa cepat kerentanan bisa ditemukan”, dan berjanji memperluas perburuan bug berbantuan AI serta verifikasi formal.

Tanpa Voting Amendemen

Perubahan aturan pemrosesan transaksi di XRP Ledger biasanya lewat proses amendemen, yaitu aturan baru ikut dalam perangkat lunak tetapi baru menyala setelah didukung lebih dari 80 persen validator tepercaya selama dua minggu. Kali ini jalur itu dilewati. Perbaikan berlaku di setiap server begitu server tersebut memasang 3.4.1. Menurut laporan, ini pertama kalinya perubahan pemrosesan transaksi sengaja dikirim dengan cara itu sejak sistem amendemen diperkenalkan lebih dari sepuluh tahun lalu.

Alasannya ditulis terang. Kode xrpld terbuka untuk umum, sehingga rilis apa pun yang memuat perbaikan sekaligus menunjukkan letak bug. Lewat jalur amendemen, perbaikan itu akan terlihat publik selama berminggu-minggu sementara celahnya masih bisa dieksploitasi. Risikonya diterima dengan sadar: selama masa transisi, server dengan versi berbeda bisa berselisih soal hasil transaksi, dan dalam skenario terburuk jaringan berhenti. Laporan menilai jendela pendek itu jauh lebih aman, terlebih karena lebih dari 80 persen validator di daftar default UNL sudah menjalankan 3.4.1 pada hari rilis, padahal kode sumbernya belum dipublikasikan.

Kode itu baru muncul di GitHub pada 10 Oktober (UTC). Jeda dua pekan itulah yang dikritik pendiri Cyber Capital Justin Bons, yang menulis di X bahwa XRP “menjalankan kode sumber tertutup selama dua minggu terakhir”. Insinyur RippleX Mayukha Vadari membalas bahwa AI telah mengubah keadaan, dan perbaikan bug kritis tidak bisa lagi diselipkan diam-diam ke proses rilis publik biasa karena akan segera dibongkar.

XRP Ledger Foundation membela keputusan itu dalam utas di X yang terbit Senin (12/10) dini hari WIB. Yayasan itu menyebut build perbaikan dibagikan ke validator default UNL lewat kontak yang mereka cantumkan di berkas xrp-ledger.toml, biner publik menyusul di hari yang sama, dan “tidak ada satu pihak pun yang bisa mengambil keputusan itu sendirian”. Versi 3.4.1 baru menjadi wajib setelah amendemen fixBatchV1_2 aktif pada 9 Oktober melalui pemungutan suara biasa. Amendemen itu menutup bug kedua yang lebih ringan pada fitur Batch, yang belum aktif di Mainnet ketika ditemukan, dan server versi lama kini terblokir.

Catatan: Klaim bahwa tidak ada XRP yang tercetak berasal dari XRPL Foundation dan RippleX. Yayasan menyebut sekitar 99,986 miliar XRP beredar saat ini dan mengundang siapa pun memverifikasi saldo di ledger publik. GEREGET belum melakukan audit pasokan sendiri.

Pasar nyaris tidak bereaksi. Data harian CoinGecko mencatat XRP di sekitar US$1,38 pada awal 9 Oktober (UTC) dan US$1,41 pada Senin pagi. Penurunan dari sekitar US$1,50 terjadi pada 7–8 Oktober, sebelum laporan terbit dan bersamaan dengan pelemahan pasar kripto pekan lalu.

Yang tersisa adalah pertanyaan tata kelola. Laporan menegaskan jalan pintas ini hanya pantas untuk bug paling parah, ketika eksploitnya lebih buruk daripada jaringan yang berhenti, dan bahwa perubahan protokol tetap lewat amendemen. Yayasan dan RippleX kini menjanjikan verifikasi formal, pengujian adversarial dengan AI, dan langkah uji ulang setiap temuan keamanan sebelum rilis ditutup. Belum ada yang menjawab siapa yang menentukan ambang “paling parah” itu pada kasus berikutnya, dan apakah validator mau sekali lagi memasang biner yang kodenya belum bisa mereka baca.

Catatan / Referensi

• XRPL.org, “Vulnerability Disclosure Report for xrpld 3.4.1”, 9 Okt 2026: mekanisme overflow, invariant XRPNotCreated, biaya serangan, kronologi 22–25 Sep, alasan melewati amendemen, >80% validator default UNL pada hari rilis, bug Batch (fixBatchV1_2 aktif 9 Okt), kutipan “no evidence”. https://xrpl.org/blog/2026/vulnerabilitydisclosurereport-bug-20261009
• XRPL.org, “Introducing XRP Ledger version 3.4.1”, 25 Sep 2026: rilis darurat, kode sumber belum dipublikasikan saat rilis. https://xrpl.org/blog/2026/xrpld-3.4.1
• XRPLF/rippled, catatan rilis 3.4.1 di GitHub (diterbitkan 10 Okt 2026 UTC): paket biner sudah terbit 26 Sep, fixBatchV1_2 sudah aktif. https://github.com/XRPLF/rippled/releases
• Veria Labs, “The Biggest Hack in Crypto History That Never Happened”, Okt 2026: bukti konsep 256 penawaran, 18,45 triliun XRP, klaim $94 miliar, kronologi 21 Sep–9 Okt, hadiah $250.000 (8 Okt), klaim agen serbaguna gagal menemukan bug. Gambar utama dari laman ini. https://verialabs.com/blog/biggest-hack-in-crypto-history/
• XRP Ledger Foundation (@XRPLF), utas X, 11 Okt 2026 20.56 UTC: pasokan ~99,986 miliar XRP, build dibagikan ke validator default UNL, “No single party could make that call alone”. https://x.com/XRPLF/status/2109387797584892359
• The Block (Zack Abrams), 11 Okt 2026: kutipan Cayden Liao, hadiah $250.000, kritik Justin Bons, jawaban Mayukha Vadari, pernyataan J. Ayo Akinyele. https://www.theblock.co/news/ecosystems/2026-10-11-xrp-ledger-patches-decade-old-bug-that-could-have-minted-trillions-of-xrp-418230
• CoinDesk (Shaurya Malwa), 10 Okt 2026: rangkuman dan konteks celah lama yang terungkap dengan bantuan AI sejak Juli (Coldcard 1.367 BTC, Core Lightning). https://www.coindesk.com/tech/2026/10/10/xrp-ledger-patched-decade-old-bug-that-could-create-billions-of-dollars-in-xrp-from-nothing
• CoinGecko, data harga XRP harian 2–12 Okt 2026 dan harga terkini (diakses 12 Okt 2026 06.04 WIB): US$1,41, Rp25.210, kapitalisasi ~US$88,9 miliar. https://www.coingecko.com/en/coins/xrp
• Catatan GEREGET: Angka 18,45 triliun XRP, “$94 miliar terancam”, rekor hadiah, dan klaim bahwa agen AI lain gagal menemukan bug berasal dari Veria Labs, pihak yang menerima hadiah dan menjual jasa keamanan. Ketiadaan eksploitasi adalah pernyataan RippleX/XRPL Foundation. Selisih tanggal rilis biner (25 vs 26 Sep) kemungkinan soal zona waktu.