Bug 11 Tahun di XRP Ledger: Ancaman Nyata pada Batas Suplai 100 Miliar Koin

Sebuah cacat pemrograman yang telah bersemayam selama lebih dari satu dekade di XRP Ledger akhirnya terungkap. Kerentanan ini, menurut XRP Ledger Foundation, berpotensi memungkinkan penyerang menciptakan XRP baru di luar batas suplai 100 miliar koin yang menjadi fondasi kepercayaan para pemegang token. Insiden ini ditemukan pada 22 September oleh peneliti Cayden Liao bersama Veria AI dan dilaporkan secara internal sebelum menimbulkan kerusakan.

Bagi pasar kripto, temuan ini bukan sekadar catatan teknis. XRP Ledger adalah blockchain layer-1 sumber terbuka yang mengandalkan janji kelangkaan absolut: tidak ada mekanisme penambangan dan tidak ada penambahan pasokan. Jika celah ini dieksploitasi, kepercayaan terhadap salah satu aset digital terbesar di dunia bisa runtuh dalam hitungan jam. RippleX, pengembang yang merilis tambalan, memastikan tidak ada XRP baru yang tercipta dan sekitar 99,986 miliar koin masih beredar saat ini.

Kerentanan ini bersumber dari apa yang dikenal sebagai integer overflow. Bayangkan papan skor gim arkade lawas yang kembali ke nol setelah mencapai angka maksimum. Dalam konteks XRP Ledger, begitu ukuran transaksi melampaui batas numerik yang diizinkan sistem, nilai tersebut berbalik menjadi angka yang sangat kecil. Akibatnya, pemeriksaan dana standar terlewati: penjual tetap menerima XRP dalam jumlah penuh, sementara pembeli hanya dibebani biaya sangat minim. Selisihnya seolah-olah dicetak dari udara tipis dan menggelembungkan total suplai secara artifisial.

Modus serangan yang mungkin dilakukan cukup rumit. Penyerang dapat membuat sejumlah akun boneka untuk memposting penjualan token fiktif dengan nilai XRP yang fantastis. Bertindak sebagai pembeli, ia kemudian membayar dengan XRP dan menyapu seluruh token sekaligus. Ledger akan mengkredit akun penjual dengan miliaran XRP valid, tetapi karena kewalahan oleh volume yang luar biasa, sistem hanya mencatat total biaya sepersekian sen bagi pembeli. Dengan begitu, penyerang bisa melarikan diri membawa miliaran XRP baru untuk dicairkan di bursa eksternal.

Mengapa celah ini luput begitu lama? XRP Ledger Foundation menjelaskan bahwa pemicunya membutuhkan skala operasi yang ekstrem. “Tidak ada pembayaran normal yang mendekati pemicunya. Dibutuhkan ratusan operasi yang dirancang secara sengaja,” ujar foundation dalam penjelasan resminya. Pemeriksaan internal ledger pun gagal mendeteksi karena verifikasi setelah transaksi mengandalkan total yang salah hitung. Batas maksimum penerimaan per akun juga tidak terpicu lantaran serangan potensial akan menyebar ke ratusan akun.

Kabar baiknya, tidak ada indikasi eksploitasi aktual. Namun, insiden ini menyoroti kerentanan yang mungkin mengintai di blockchain lain dengan arsitektur serupa. Foundation mencatat bahwa kecerdasan buatan kini mempercepat penemuan celah semacam ini, baik oleh aktor jahat maupun pihak yang beritikad baik. Sebagai langkah preventif, mereka berencana menerapkan pengujian AI adversarial secara agresif, verifikasi formal, dan memperkuat program bug bounty. “Anda akan mendengar lebih banyak tentang ini seiring kemajuan kami,” tambahnya.

Di Indonesia, di mana adopsi aset kripto terus tumbuh dan XRP menjadi salah satu token populer, kejadian ini menjadi pengingat bahwa risiko teknis di balik janji desentralisasi tidak bisa diabaikan. Regulator seperti Bappebti dan pelaku industri dalam negeri perlu mencermati standar audit keamanan blockchain, terutama saat semakin banyak proyek lokal mengandalkan klaim suplai terbatas. Pertanyaannya, apakah ekosistem kripto global akan menjadikan temuan ini sebagai momentum untuk memperketat verifikasi formal, atau justru menunggu celah berikutnya ditemukan oleh AI sebelum diperbaiki?