【XRPL セキュリティ情報】xrpld 3.4.1 における脆弱性の修正について 2026年10月9日、XRP Ledger 開発チームより重大な脆弱性の詳細レポートが公開されました。本件は9月25日リリースの xrpld 3.4.1 にて修正済みの内容です。 XRPL Japanより、リポジトリや公式レポートなどの一次情報を元に、要点を共有いたします。 ■ 概要・結論 ・本脆弱性が悪用された形跡はありません ・XRP の総供給量および保有残高への影響はありません ・一般の XRP 保有者（ホルダー）側の対応は不要です ■ 不具合の内容 XRPL に備わる DEX（分散型取引所）機能において、1回の支払いで数百件の注文を一括約定させた際、支払合計額の計算処理で「桁あふれ（整数オーバーフロー）」が発生する不具合が存在しました。 例えるなら、メーターが上限に達して0に戻るように、計算上の上限値を超えた合計額が極端に小さな値へとリセットされてしまう現象です。 これにより、売り手へは満額が支払われる一方、買い手は本来より少ない支払いで済むため、差額分の XRP が不正に生成され得る状態となっていました。XRP が新たに作られていないかを検証する安全機構は備わっていましたが、同様の計算ロジックを用いていたため検知できませんでした。 ■ これまで顕在化しなかった理由 本不具合は2015年より存在していましたが、発現には通常取引ではあり得ない極端な価格帯の注文を意図的に数百件作成し、一括約定させる必要がありました。そのため、通常の取引環境下で偶然発生する可能性はありませんでした。 今回はバグバウンティ（報奨金）プログラムを通じて外部研究者から報告がなされ、迅速に修正の適用が完了しています。 ■ 修正の経緯 ・9月22日：脆弱性報告を受理。開発チームが即日再現し、重大度を確認 ・9月25日：修正版 3.4.1 をリリース（悪用防止のためソースコードは非公開とし、バイナリパッケージのみ配布） ・同日中：デフォルト UNL のバリデータの80%以上がアップデートを完了 ・10月9日：詳細レポートおよびソースコードを公開 修正コードを公開すると脆弱性の箇所も公になってしまうため、ソースコードの公開は約2週間後の詳細レポート公開にあわせて行われました。 ■ 例外的な適用プロセスの採用 通常、XRPL の仕様変更はバリデータによる投票（Amendment）で承認され、2週間の猶予期間を経て有効化されます。通常の手順では、脆弱性が公知となった状態で修正適用まで数週間を要し、悪用リスクが生じます。 そのため今回は関係者およびバリデータ間の合意に基づき、投票プロセスを経ずにアップデート適用時点で即時有効化される方式が採用されました。トランザクション処理に関わる変更をこの方式で実施したのは、制度導入以来初となります。 ※本対応は緊急時の例外措置であり、今後の仕様変更は原則どおり Amendment にて行われます。 ■ ノード運用者への案内 バージョン 3.4.1 未満のノードは現在ネットワークと同期できません。未更新の運用者は速やかにアップデートを適用してください。 ■ 今回の対応から見えること 今後も AI による解析などで、OSSは過去から存在する脆弱性が見つかるケースはあると考えられます。今回は報告から3日で修正版がリリースされ、バリデータも即日で対応しました。 逆にいえば、緊急性の高い問題にも迅速に対処できる「XRPLエコシステム」の強さ、柔軟さが示された出来事といえるのではないでしょうか。 ■ さいごに 報告者の Cayden Liao 氏、Veria AI、ならびに迅速に対応した開発者・バリデータ、コミュニティに感謝申し上げます。