Agen AI temukan bug XRP Ledger yang bisa mencetak 18 triliun XRP, yayasan janji uji adversarial AI

Cacat itu bersembunyi di mesin pembayaran XRP Ledger, pada kode yang menghitung jumlah XRP ketika satu pembayaran menyapu banyak tawaran di buku order. Penjumlahannya memakai bilangan bulat 64 bit tanpa pemeriksaan luapan, sehingga bila totalnya terlalu besar nilainya berputar menjadi angka kecil. Akibatnya penjual tetap dibayar penuh sementara pembeli hanya ditagih sebagian kecil, dan selisihnya menjadi XRP yang tidak pernah ada sebelumnya. Menurut laporan Veria Labs, akar kode tersebut berasal dari mesin pembayaran yang ditulis pada 2015.

Yang membuat cacat ini bertahan lama adalah kegagalan penjaganya sendiri. XRP Ledger memiliki pemeriksaan wajib, yaitu invariant XRPNotCreated, yang seharusnya memastikan tidak ada XRP baru tercipta. Pemeriksaan itu memakai aritmetika tanpa pemeriksaan luapan yang sama, sehingga buta terhadap persis kegagalan yang dibangun untuk menangkapnya. Batas jumlah XRP yang boleh diterima satu akun juga tidak terpicu karena hasilnya disebar ke ratusan akun, dan biaya serangan hanya beberapa ratus XRP sebagai cadangan ditambah biaya transaksi biasa.

Veria Labs menyatakan agennya menemukan cacat itu pada 21 September 2026, membangun eksploit yang bekerja di jaringan lokal, lalu melaporkannya lewat program bug bounty XRP Ledger pada 22 September 2026. RippleX mereproduksinya dan menaikkan statusnya menjadi kritis pada 23 September, lalu merilis xrpld versi 3.4.1 pada 25 September 2026 dengan lebih dari 80 persen validator pada default Unique Node List sudah menjalankannya hari itu. Perbaikan ini melewati proses amendemen yang biasanya menuntut dukungan lebih dari 80 persen validator selama dua minggu, pertama kali dalam lebih dari sepuluh tahun sebuah perubahan pemrosesan transaksi dikirim langsung. Pengungkapan publiknya menyusul pada 9 Oktober 2026, dan tidak ada bukti cacat ini pernah dieksploitasi di jaringan publik. Veria menerima hadiah maksimum US$250.000, yang menurut co-founder Veria Labs, Cayden Liao, merupakan hadiah terbesar yang pernah dibayarkan untuk celah yang ditemukan sepenuhnya oleh agen AI.

Perkembangan 12 Oktober 2026 datang dari XRP Ledger Foundation. Yayasan itu menerbitkan penjelasan mengapa cacat tersebut tak terdeteksi bertahun-tahun, dengan alasan tidak ada pembayaran normal yang mendekati pemicunya karena dibutuhkan ratusan operasi yang dirancang khusus. Yayasan juga menyatakan bahwa kecerdasan artifisial mempercepat penemuan cacat jenis ini, baik bagi pihak yang berniat jahat maupun pihak yang membela, sehingga rencana ke depan mencakup pengujian adversarial berbasis AI secara agresif, penerapan verifikasi formal, dan penguatan program hadiah keamanan.

Konteks industri membuat kisah ini bukan insiden tunggal. Laporan yang sama menyebut serangkaian cacat pencetakan aset di kripto sepanjang 2026, termasuk kasus Zcash yang ditemukan peneliti dengan bantuan model Opus 4.8 milik Anthropic. Pesan praktisnya untuk pemilik sistem: keamanan tidak lagi cukup diuji oleh manusia dalam jadwal rilis, dan kontrol kritis harus ditempatkan terpisah dari komponen yang sedang diawasi, karena penjaga yang memakai logika yang sama dengan kesalahannya tidak akan pernah menangkap kesalahan itu.