XRP Ledger recorre a patch emergencial para fechar brecha de emissão
A XRP Ledger Foundation veio a público defender a correção aplicada às pressas que fechou uma brecha capaz de criar XRP além do limite de fornecimento da rede. Conforme os responsáveis, esperar o rito habitual de votação dos validadores deixaria a falha exposta a invasores por semanas. A correção entrou no ar em 25 de setembro, três dias depois de um relatório de recompensa por bugs (bug bounty), e valeu de imediato em todo servidor que a instalou. Foi a primeira vez, em mais de dez anos de operação, que a rede abandonou o processo de emendas de forma intencional.
A origem do defeito
A raiz do problema está num estouro de inteiro (integer overflow) no motor de pagamentos da rede, um erro que existe desde 2015. Os saldos ficam guardados na forma de inteiros de 64 bits, com um teto fixo. Sempre que a soma passava desse limite, o cálculo devolvia um valor menor em vez de acusar erro.
Para explorar a falha, era preciso montar um cenário artificial. O invasor criava centenas de ofertas com preços desenhados a dedo, cada uma pedindo uma quantidade enorme de XRP, e em seguida disparava um pagamento que consumisse todas. O sistema creditava a cada dono de oferta o valor integral, mas cobrava do comprador apenas o total reduzido que sobrava do estouro. A diferença virava XRP recém-criado, disponível para gasto.
Segundo o relatório de divulgação da vulnerabilidade, o golpe dependia de ofertas montadas deliberadamente e não podia ser acionado pela negociação comum. Os desenvolvedores afirmam não ter encontrado indícios de que a brecha tenha sido explorada em qualquer rede pública.
| Item | Dado |
|---|---|
| Lançamento do patch | 25 de setembro |
| Intervalo após o relatório | 3 dias |
| Falha presente desde | 2015 |
| Apoio dos validadores | mais de 80% |
| Armazenamento dos saldos | inteiros de 64 bits |
A defesa da fundação e as acusações de centralização
A decisão de furar o rito normal saiu, segundo a XRP Ledger Foundation, de um entendimento conjunto entre a própria fundação, a RippleX, os principais desenvolvedores e os validadores, depois de medirem a gravidade da falha.
O episódio reacendeu o debate sobre o grau de descentralização da rede. No próprio site, o XRPL se apresenta como blockchain pública totalmente descentralizada — descrição central no argumento de que o token nativo, o XRP, não é valor mobiliário. O fundador da Cyber Capital, Justin Bons, atacou essa tese na quinta-feira e classificou como fraude descarada a divulgação do XRP a investidores de varejo como ativo descentralizado. Ele sustenta que a liberação de 25 de setembro circulou apenas em binários, manteve o código-fonte sob sigilo por um período e pressionou operadores a migrar para a nova versão.
A XRP Kuwait, operadora independente de validadores, também rejeitou a leitura de que uma atualização coordenada equivalha a controle centralizado. Para a organização, operadores autônomos conseguem analisar o quadro, trocar informações entre si e convergir para a mesma decisão sem perder a independência.
A fundação acrescentou que nenhuma parte isolada teria poder para decidir sozinha, que cabe a cada operador de nó e a cada validador definir o software que executa e que a atualização 3.4.1 virou obrigatória apenas depois de uma votação regular de emenda, com apoio superior a 80% dos validadores ao longo de duas semanas. As mudanças de protocolo, afirmam, seguem passando por emendas.
O que o episódio sinaliza para o investidor
O caso escancara uma tensão estrutural do XRP. Se explorada, a criação de unidades fora do teto corroeria a escassez que sustenta boa parte da tese de valor do token. Ao mesmo tempo, a forma como a correção foi conduzida alimenta o questionamento sobre governança e descentralização — ponto sensível, porque a classificação do XRP como não sendo valor mobiliário se apoia justamente na ideia de uma rede sem controle central.
Para quem acompanha o ativo, a agenda relevante deixa de ser o bug em si e passa a ser a resposta institucional: como a fundação documenta a decisão e o que isso sinaliza sobre a autonomia dos validadores daqui para frente. A rede sustenta que o processo de emendas segue valendo e que a atualização 3.4.1 passou pelo crivo dos validadores. A discussão sobre o que caracteriza coordenação legítima, no entanto, está longe de terminar.