Bug XRP Ledger Bisa Mencetak XRP dari Nol: Apa yang Diperbaiki dan Apakah XRP Anda Aman? (Oktober 2026)

Apa sebenarnya masalahnya

Laporan resmi pengungkapan kerentanan di situs xrpl.org menjelaskan penyebabnya dengan cukup sederhana. Ketika sebuah pembayaran membeli lewat order book, mesin XRPL mengambil semua penawaran di harga terbaik sekaligus, lalu menjumlahkan berapa yang harus dibayar pembeli. Penjumlahan itu memakai bilangan bulat 64-bit biasa tanpa pemeriksaan overflow.

Saldo XRP disimpan sebagai bilangan bulat dengan batas maksimum. Kalau totalnya melewati batas itu, sistem tidak menolak, melainkan "berputar balik" menjadi angka kecil. Akibatnya, setiap penjual tetap menerima XRP penuh sesuai penawarannya, sementara pembeli hanya ditagih angka kecil hasil putaran tadi. Selisihnya adalah XRP baru yang seharusnya tidak pernah ada.

Ada dua pengaman yang semestinya menangkap hal ini, tetapi keduanya gagal:

• Pemeriksaan "tidak boleh ada XRP yang tercipta" menjumlahkan perubahan saldo dengan penghitung 64-bit yang sama, sehingga ikut berputar balik dan hanya terlihat seperti biaya transaksi biasa.
• Pemeriksaan saldo per akun baru menolak jika satu akun memegang lebih dari total pasokan. Dengan menyebar XRP baru ke ratusan akun, setiap saldo tetap di bawah batas itu.

Menurut laporan tersebut, overflow ini sudah ada sejak mesin pembayaran versi sekarang ditulis pada 2015, dan pemeriksaan tambahan yang dibuat dua tahun kemudian mewarisi cara hitung yang sama.

Bagaimana serangannya bisa dilakukan

Skenarionya bukan sesuatu yang bisa terjadi tanpa sengaja. Penyerang harus membuat beberapa ratus akun, lalu masing-masing memasang penawaran untuk menjual sedikit sekali token tertentu dengan harga XRP yang sangat besar. Setelah itu, satu pembayaran dari akun lain "menyapu" semua penawaran itu sekaligus. Para penjual menerima XRP penuh, sedangkan pembeli hanya membayar beberapa ratus drop ditambah biaya. Modal sebenarnya hanya beberapa ratus XRP untuk cadangan akun dan penawaran, dan cadangan itu pun bisa ditarik kembali.

Cayden Liao, salah satu pendiri perusahaan keamanan Veria Labs yang menemukan bug ini, menulis di X bahwa menurut hitungannya satu transaksi saja bisa menciptakan sekitar 18 triliun XRP, kira-kira 184 kali total pasokan. Seperti dilaporkan The Block, Liao mengatakan bug ini ditemukan oleh agen AI milik Veria, dan Ripple membayar hadiah tertinggi program bug bounty, yaitu 250.000 dolar AS.

Kronologi singkat

Kenapa perbaikannya tidak lewat voting validator

Biasanya, perubahan aturan pemrosesan transaksi di XRPL dirilis dalam keadaan "mati" dan baru berlaku setelah lebih dari 80% validator tepercaya mendukungnya selama dua minggu berturut-turut. Kali ini, perbaikan langsung berlaku di setiap server begitu server tersebut diperbarui. Laporan menyebut ini pertama kalinya dalam lebih dari sepuluh tahun sistem amandemen berjalan.

Alasannya: kode xrpld bersifat terbuka. Kalau dirilis dengan cara biasa, penyerang bisa melihat letak bug berminggu-minggu sebelum perbaikannya aktif. Para pengembang menilai risiko singkat saat server lama dan baru berbeda aturan jauh lebih kecil dibanding membiarkan celah yang sudah diketahui publik tetap terbuka.

Keputusan ini juga dikritik. Catatan rilis 3.4.1 menyebutkan kode sumber belum dipublikasikan karena alasan keamanan. Menurut The Block, Justin Bons dari Cyber Capital menulis bahwa XRP "menjalankan kode tertutup" selama dua minggu, sementara insinyur RippleX Mayukha Vadari menjawab bahwa di era AI, tambalan penting tidak bisa lagi disembunyikan dalam rilis publik biasa karena akan langsung dibongkar.

Rilis yang sama juga menutup celah terpisah pada fitur Batch, yang memungkinkan satu akun mengirim hingga delapan transaksi sebagai satu paket. Fitur itu belum aktif di Mainnet saat celah ditemukan, jadi tidak ada dana yang terdampak. Sejak 9 Oktober, server dengan versi di bawah 3.4.1 tidak bisa lagi mengikuti jaringan.

Apa artinya bagi investor kripto di Indonesia

Berita ini ramai diberitakan media kripto berbahasa Indonesia, dan pasar kripto lokal sendiri terus membesar. Menurut ANTARA, Otoritas Jasa Keuangan (OJK) mencatat 23,21 juta akun konsumen bertransaksi aset kripto per Agustus 2026, dengan nilai transaksi Rp23,16 triliun pada bulan itu, naik 12,87% dibanding Juli. Artinya, berita seperti ini menjangkau banyak orang, dan sering kali beredar dengan judul yang menakutkan di media sosial.

Beberapa hal praktis yang perlu Anda ketahui:

• Pasokan XRP tidak berubah. Dokumentasi resmi XRPL menyatakan tidak akan ada lebih dari 100 miliar XRP yang pernah diciptakan, dan bug ini tidak pernah dipakai.
• Tidak perlu memindahkan atau menjual XRP. Tidak ada tindakan yang diminta dari pemegang biasa. Hanya operator server XRPL yang wajib memperbarui ke versi 3.4.1 atau yang lebih baru.
• Pasar nyaris tidak bereaksi. Di Binance, XRPUSDT berada di 1,4073 dolar AS sekitar pukul 01.50 WIB tanggal 12 Oktober, naik 0,21% dalam 24 jam, dengan rentang 1,3872–1,43 dolar AS.
• Waspadai penipuan. Berita keamanan sering dipakai untuk pesan palsu seperti "segera pindahkan XRP Anda ke dompet aman". Tidak ada pihak resmi yang meminta itu.
• Gunakan platform yang diawasi. Di Indonesia, perdagangan aset kripto berada di bawah pengawasan OJK; periksa status platform yang Anda pakai sebelum menyetor dana.

Kasus ini juga menunjukkan tren yang lebih besar. Dalam beberapa minggu terakhir, ini kedua kalinya bug berusia hampir satu dekade ditemukan dengan bantuan AI, setelah insiden di sidechain Liquid milik Blockstream. Kepala teknik RippleX, J. Ayo Akinyele, mengatakan timnya akan memperluas pencarian bug berbantuan AI dan verifikasi formal.

Langkah yang bisa Anda ambil

Gunakan berita ini sebagai alasan untuk memeriksa di mana XRP Anda disimpan, bukan sebagai sinyal beli atau jual. Simpan aset jangka panjang di dompet yang Anda kendalikan, dan untuk bertransaksi pilih platform dengan order book XRP yang dalam serta penarikan yang berjalan normal. Jika Anda sudah memakai exchange global, OKX menyediakan pasar spot dan perpetual XRP; mendaftar dengan kode nexu888 mengembalikan 40% biaya trading yang diselesaikan setiap jam. Pastikan layanannya tersedia dan sesuai aturan di tempat Anda (profil OKX).

Tanya jawab singkat

Apakah XRP Ledger diretas? Tidak. Bug ditemukan peneliti keamanan, diperbaiki pada 25 September 2026, dan tidak ada bukti pernah dieksploitasi.

Apakah jumlah XRP bertambah? Tidak. Celah itu secara teori bisa menembus batas 100 miliar, tetapi tidak pernah dipakai.

Apakah saya harus memindahkan XRP dari exchange? Tidak ada tindakan yang diperlukan untuk pemegang biasa.

Siapa yang menemukan bug ini? Cayden Liao dan Veria Labs melalui program bug bounty XRPL; Liao menyebut bug ditemukan oleh agen AI.

Batasan artikel ini

Detail teknis dan tanggal berasal dari laporan pengungkapan kerentanan dan catatan rilis xrpld 3.4.1 di xrpl.org; angka 18 triliun XRP, hadiah 250.000 dolar AS, dan perdebatan di X berasal dari laporan The Block; data OJK berasal dari ANTARA. Harga hanyalah satu cuplikan dari Binance. Artikel ini bukan nasihat investasi. Tautan mitra dapat memberikan komisi kepada NexuAlpha yang dibayar oleh exchange, tanpa biaya tambahan bagi Anda.