Tim pengembang XRP Ledger (XRPL) mengonfirmasi telah berhasil menambal kerentanan keamanan kritis yang telah mengendap selama lebih dari satu dekade sejak tahun 2015. Celah perangkat lunak tersebut berpotensi memungkinkan peretas menciptakan miliaran token XRP baru dari ketiadaan tanpa mengeluarkan modal, yang secara langsung melanggar aturan batas pasokan tetap (fixed supply) sebesar 100 miliar token. Laporan keamanan publik yang dirilis pada Jumat mengungkapkan bahwa pembaruan darurat telah digulirkan secara diam-diam oleh tim pengembang guna mengamankan integritas jaringan sebelum pihak jahat mengeksploitasi celah perhitungan pada bursa desentralisasi internal buku besar tersebut.
Kronologi Penemuan Celah dan Respons Cepat RippleX
Kerentanan berisiko tinggi ini pertama kali diidentifikasi oleh peneliti keamanan siber independen Cayden Liao bersama platform analitik Veria AI, yang kemudian dilaporkan secara internal kepada pengembang pada 22 September 2026. Menindaklanjuti laporan darurat tersebut, tim insinyur di RippleX, divisi riset dan pengembangan teknis Ripple, langsung melakukan uji coba simulasi serangan pada server mandiri (standalone server). Hasil reproduksi laboratorium mengonfirmasi temuan yang mengkhawatirkan: token XRP hasil manipulasi perhitungan tersebut benar-benar dapat dibelanjakan (spendable) pada transaksi lanjutan di dalam jaringan.
Guna mencegah kekacauan likuiditas di pasar kripto global, para pengembang segera merilis perbaikan tambalan pada perangkat lunak server xrpld versi 3.4.1 pada 25 September 2026. Rilis pembaruan perangkat lunak server tersebut awalnya diluncurkan tanpa membeberkan rincian kerentanan secara publik demi memberikan waktu yang cukup bagi para operator validator jaringan untuk memperbarui node mereka. Dalam pernyataan resminya, RippleX menegaskan bahwa tidak ditemukan bukti adanya eksploitasi aktif maupun saldo yang bocor pada jaringan publik utama (mainnet) sepanjang satu dekade celah tersebut bersemayam di basis kode.
Mekanisme Serangan pada Sistem Pembayaran Built-In DEX
Analisis teknis mengungkap bahwa kelemahan ini berakar pada logika penghitungan kuantitas pada modul bursa desentralisasi bawaan (built-in decentralized exchange) milik XRP Ledger, yakni tempat pengguna menukar berbagai token. Secara teoretis, pelaku kejahatan dapat membuka ratusan akun dompet baru secara simultan. Setiap akun tersebut kemudian memasang penawaran jual token dalam jumlah fraksional yang sangat kecil, namun menuntut imbalan pembelian berupa token XRP dalam jumlah yang luar biasa besar dan di luar batas kewajaran.
Serangan kemudian dieksekusi dengan mengirimkan satu transaksi pembayaran tunggal (single payment) yang secara otomatis menyerap dan mengeksekusi seluruh penawaran jual tersebut dalam satu waktu. Akibat akumulasi nilai yang melampaui batas kapasitas perhitungan sistem, software mengalami kesalahan kalkulasi (counting error). Akibatnya, ratusan akun penjual milik penyerang dikreditkan saldo XRP secara penuh, sementara akun pembeli hampir tidak didebet sama sekali. Sistem invariant balance check pasca-transaksi gagal mendeteksi anomali ini karena bergantung pada total kuantitas yang keliru, sementara batasan penerimaan per akun juga terlewati karena saldo dipecah ke ratusan dompet. Untuk mengeksekusi skema ini, penyerang hanya membutuhkan modal beberapa ratus XRP untuk biaya aktivasi dompet yang sebagian besar dananya bahkan dapat ditarik kembali.
Perlindungan Pasokan 100 Miliar Token dan Keamanan Jaringan
Penambalan celah ini sangat krusial bagi ekosistem Ripple mengingat seluruh 100 miliar token XRP telah diciptakan saat jaringan pertama kali diluncurkan pada tahun 2012 silam. Aturan konsensus ledger dirancang secara ketat agar tidak ada satu pun token baru yang dapat dicetak melebihi batas tersebut. Jika kerentanan ini sempat dieksploitasi oleh aktor jahat di pasar publik, pasokan baru yang membanjiri bursa kripto tidak hanya mendilusi valuasi pasar token, tetapi juga menghancurkan kepercayaan institusi keuangan dan perbankan global yang mengandalkan infrastruktur XRP Ledger untuk penyelesaian likuiditas lintas batas.
Insiden ini menambah deretan panjang penemuan kerentanan lawas pada protokol kripto terkemuka yang berhasil diidentifikasi berkat bantuan teknologi audit kecerdasan buatan (AI) sepanjang kuartal ketiga hingga awal kuartal keempat 2026. Sebelumnya, audit berbasis AI juga berhasil membongkar bug pada perangkat keras dompet Coldcard yang memicu pencurian 1.367 Bitcoin, serta kerentanan arsitektur pada Core Lightning yang sempat memaksa operator node Bitcoin memutus koneksi sementara. Keberhasilan penambalan pada xrpld versi 3.4.1 ini menegaskan urgensi audit keamanan berkala berbasis machine learning bagi infrastruktur blockchain generasi awal yang mengelola nilai aset bernilai miliaran dolar.
Sumber: CoinDesk
