O XRP Ledger (XRPL) ativou na quarta-feira (4) a atualização fixCleanup3_4_0, que fecha uma brecha no sistema de permissões da rede pela qual um prestador de serviços com poderes restritos poderia criar tokens sem o aval do emissor. A mudança passou a valer às 11h52 de Brasília, no bloco 108.112.129, conforme registro do explorador XRPLWin.
O que a brecha permitia
O ponto vulnerável ficava no mecanismo de delegação do XRPL, que permite a uma conta ceder a terceiros tarefas específicas sem entregar o controle integral dos próprios ativos. O exemplo clássico é o da emissora de stablecoin que autoriza um processador de pagamentos a destruir unidades quando o cliente pede resgate em moeda tradicional. Essa queima existe para retirar moedas de circulação e manter a oferta alinhada ao caixa que lastreia o token.
Segundo a documentação oficial da rede, a falha fazia essa autorização vazar de escopo: uma conta habilitada apenas a destruir conseguia, em determinadas circunstâncias, gerar novas unidades do mesmo ativo. Traduzindo para o risco concreto, um parceiro com permissão limitada poderia inflar a oferta sem consultar a empresa dona do token — e, no caso de stablecoins, descolar a quantidade de moedas em circulação das reservas financeiras que deveriam respaldá-las.
A brecha atingia os ativos emitidos na blockchain, como stablecoins e outros tokens fungíveis, mas não o XRP, a moeda nativa da rede, que segue regras próprias de emissão e não usa esse sistema de permissões. Não há registro público de exploração criminosa da falha nem de perdas financeiras até aqui.
Governança: duas semanas de contagem e um recuo no caminho
Mudar as regras do XRPL não depende de uma empresa: o protocolo exige que mais de 80% dos validadores de confiança aprovem a alteração e mantenham esse aval por 14 dias seguidos. A atualização estava prevista para 23 de outubro e não saiu na data.
Em 21 de outubro, o respaldo recuou para 26 dos 35 validadores acompanhados pelo XRPL Dashboard. A maioria exigida é de 29. O apoio voltou cerca de duas horas depois, mas o susto obrigou a reiniciar a contagem do prazo de duas semanas. Na segunda-feira (2), o endosso já somava 33 dos 35 validadores da plataforma, o que abriu caminho para a ativação na quarta.
| Data | Situação do apoio | Referência |
|---|---|---|
| 21 de outubro | 26 de 35 validadores | 29 necessários |
| Segunda-feira (2) | 33 de 35 validadores | 29 necessários |
| Quarta-feira (4) | Ativação concluída | Bloco 108.112.129 |
Antes de a correção entrar no ar, a própria documentação do XRPL orientava desenvolvedores a evitar a permissão PaymentBurn justamente por causa do efeito colateral. O fixCleanup3_4_0 separa com rigidez as duas operações: quem pode queimar não ganha, por tabela, o direito de emitir. Quem opera sobre a rede convive, assim, com dois relógios — o da engenharia, que escreve a correção, e o da governança, que decide quando ela passa a valer.
O que mais veio no pacote
O texto vai além do furo de permissões. Ele corrige a matemática de entradas e saídas dos Single Asset Vaults, os cofres de ativos digitais que fazem parte do módulo de crédito planejado para a rede. Também barra um erro que rotulava operações de crédito como vencidas ou inadimplentes antes do prazo final, ajusta a recuperação de tokens em pools de negociação automatizados, o funcionamento em ambientes de acesso restrito e a assinatura de transações.
A ativação, porém, não coloca o crédito descentralizado nem os cofres em operação: essas funcionalidades ainda dependem de aprovações específicas dos validadores.
O que isso significa para o investidor
Emissoras de stablecoin e instituições financeiras tradicionais que tokenizam ativos usam justamente a camada de permissões para repassar tarefas operacionais a parceiros. Uma brecha que mistura queimar com emitir ataca o ponto mais sensível desse arranjo, que é o lastro. Para quem acompanha o setor, o episódio também expõe o trade-off da governança distribuída: ela funciona como trava de segurança, mas cobra o preço em velocidade — como mostrou o recuo de 21 de outubro.
Diferentemente de blockchains operadas por uma única companhia, o XRPL não tem um dono capaz de empurrar a correção por decreto. Isso protege contra decisões unilaterais e, ao mesmo tempo, torna o calendário de qualquer mudança refém do humor da rede validadora.
Com a mudança, o XRPL fecha o caminho para que uma conta de permissão limitada crie ativos por conta própria e reforça os controles de emissão e destruição de tokens que rodam sobre sua infraestrutura. Não houve prejuízo registrado, mas o caso deixa claro que a expansão das stablecoins e da tokenização coloca a segurança das permissões no centro da agenda das blockchains voltadas à infraestrutura financeira.