Fallo de XRP Ledger: corrigen un error de 2015 que permitía crear XRP de la nada. Qué deben hacer quienes tienen XRP

Qué pasó

El viernes 9 de octubre, RippleX, el área de desarrollo de la empresa Ripple, publicó un informe sobre una vulnerabilidad en XRP Ledger. Según los desarrolladores, el error estaba en el motor de pagos de la red desde 2015, cuando se escribió ese código. Permitía hacer un pago después del cual aparecían XRP nuevos en la red, aunque el remitente casi no pagaba nada.

La cronología es corta:

• El 22 de septiembre, el investigador Cayden Liao y Veria AI reportaron el error a través del programa de recompensas por vulnerabilidades.
• El 25 de septiembre salió la versión xrpld 3.4.1 del software de servidor, con la corrección. En ese momento los desarrolladores no dijeron qué habían arreglado exactamente y les pidieron a los operadores de nodos actualizar de inmediato.
• El 9 de octubre, RippleX reveló los detalles.

Los ingenieros de RippleX repitieron el ataque en un servidor de prueba aparte y lo confirmaron: los XRP creados de esa manera se podían gastar en la transacción siguiente. La empresa no encontró rastros de que alguien haya aprovechado el error en las redes públicas. Eran vulnerables xrpld 3.4.0 y todas las versiones anteriores.

Para XRP es un tema especialmente delicado. Los 100.000 millones de monedas se crearon en el lanzamiento de la red en 2012, no hay minería y el software está hecho para que no puedan aparecer XRP nuevos.

Cómo funcionaba el error

XRP Ledger tiene su propio exchange integrado: cualquier cuenta puede publicar una orden para cambiar un token por otro, y un pago puede pasar por varias de esas órdenes a la vez. El error estaba en el cálculo del monto. Según la descripción de CoinDesk, el ataque habría sido así:

1. El atacante abre varios cientos de cuentas.
2. Cada cuenta publica una orden: entrego una cantidad minúscula de mi token y quiero a cambio muchísimos XRP.
3. Un solo pago compra todas esas órdenes de una vez.
4. El total de XRP que debe pagar el comprador resulta demasiado grande. El número no cabe en el espacio reservado para él y "da la vuelta", como un cuentakilómetros que después de todos los nueves marca ceros.
5. Los vendedores reciben sus XRP completos y al comprador casi no se le descuenta nada.

Los programadores llaman a esto desbordamiento de enteros. La red tiene una protección para estos casos: después de cada transacción verifica que no hayan aparecido XRP nuevos. Pero esa verificación tomaba el mismo monto mal calculado y no habría notado nada. Tampoco habría servido el límite aparte sobre cuántos XRP puede recibir una sola cuenta: las monedas se repartían entre cientos de cuentas en partes pequeñas.

El ataque habría salido barato. Hacen falta unos cientos de XRP para abrir las cuentas, que en su mayor parte se pueden recuperar, y las comisiones de las transacciones. El propio XRP vale unos 1,40 dólares el 10 de octubre, y el precio casi no reaccionó a la noticia.

Por qué nadie vio el error en más de diez años

Requería una combinación de condiciones poco común: cientos de órdenes por montos enormes, compradas con un solo pago. Los pagos normales no llegan a números así, por eso la red funcionó durante años sin fallas.

Lo encontraron con ayuda de IA, y ya no es el primer caso. En febrero de 2026, el investigador Pranamya Keshkamat y la herramienta de IA Apex de Cantina descubrieron un error en la verificación de firmas de la enmienda Batch, que estaba en preparación. Entonces, el 23 de febrero, salió la versión de emergencia 3.1.1 y la enmienda no llegó a la red principal. CoinDesk señala que desde julio la IA sacó a la luz varios errores antiguos en software de criptomonedas, entre ellos en la billetera Coldcard y en los nodos de Core Lightning.

La conclusión es incómoda, pero honesta: que un código sea viejo no quiere decir que esté revisado. Las mismas herramientas están al alcance de investigadores y de atacantes, y todo depende de quién llegue primero al error.

¿Pudieron robarte tus XRP?

No. El error no daba acceso a cuentas ni a claves ajenas. Permitía crear monedas nuevas, no llevarse las que ya existían. El riesgo era otro: si alguien hubiera fabricado miles de millones de XRP y alcanzado a venderlos, habrían sufrido el precio y la confianza en toda la red, es decir, todos los dueños de XRP a la vez.

Algo parecido le pasó una vez a bitcoin. En agosto de 2010, por un desbordamiento igual, en una sola transacción aparecieron unos 184.000 millones de BTC, cuando el límite es de 21 millones. Los desarrolladores publicaron la corrección en pocas horas y la red descartó el bloque sobrante. Con XRP Ledger no se llegó a eso: el error se cerró antes de que se enteraran personas ajenas.

Qué deben hacer quienes tienen XRP

Si tus XRP están en tu propia billetera, no necesitas hacer nada. La corrección afecta a los servidores de la red, no a las billeteras ni a las claves.

• Billetera propia. No hace falta cambiar la frase semilla ni la dirección, y tampoco mover las monedas.
• Exchange o servicio custodial. Actualizar los nodos les corresponde a ellos. Si la plataforma suspende por un rato los depósitos o los retiros de XRP para actualizar, es un procedimiento normal.
• Nodo o validador propio. Actualiza a xrpld 3.4.1 o a una versión más nueva. Según medios especializados, una vez activada la próxima enmienda, los servidores con versiones viejas dejan de sincronizarse con la red.
• Correos de "actualiza urgente tu billetera XRP". Después de una noticia sonada, los estafadores mandan enlaces así por montones. La corrección real no te exige nada, y la frase semilla no se escribe en ningún sitio web.

La historia también recuerda algo simple. El saldo en un exchange es un registro en su base de datos, y las monedas en tu propia billetera son un registro en la red misma. Puedes llevarte tus XRP con un retiro común desde el exchange, y para conseguirlos desde cero sirve un servicio de intercambio de criptomonedas que envía las monedas directo a tu dirección. Ya explicamos aparte la diferencia entre una billetera custodial y una no custodial.

Cómo cambiar XRP sin registro

En VertEXchange no necesitas cuenta, correo ni teléfono para hacer un intercambio. Eliges el par, por ejemplo para comprar XRP con bitcoin, pegas la dirección de tu billetera y, antes de enviar nada, ves la tasa y el monto que vas a recibir. Las monedas van directo a tu dirección: VertEXchange no las guarda.

• La tasa fija se mantiene unos 15 minutos, y el monto no cambia mientras se confirma la transferencia.
• Puedes indicar una dirección de reembolso: ahí vuelven las monedas si el intercambio no se completa.
• Los datos personales de la operación se borran 24 horas después de terminar, y el historial de intercambios queda solo en tu navegador.
• Hay chat de soporte en cada página, y tu caso se resuelve con el código del intercambio.

El camino inverso es igual: puedes cambiar XRP por bitcoin sin registro. Si recibes XRP en una cuenta de exchange, no te olvides del Destination Tag: en otra guía explicamos por qué una transferencia de XRP sin tag no llega.

Preguntas frecuentes

¿Qué error encontraron en XRP Ledger en octubre de 2026?

Un desbordamiento de enteros en el motor de pagos. Un solo pago a través de cientos de órdenes publicadas a propósito en el exchange integrado podía crear XRP nuevos, aunque el comprador casi no pagaba nada. La corrección salió el 25 de septiembre en la versión xrpld 3.4.1 y los detalles se revelaron el 9 de octubre.

¿Alguien llegó a crear XRP de más?

Según RippleX, no se encontraron rastros de uso del error en las redes públicas. El ataque solo se reprodujo en un servidor de prueba aparte.

¿Mis XRP están seguros?

El error no daba acceso a cuentas ni a claves ajenas, así que no servía para robar monedas. Lo que estaba en riesgo era el suministro total, no las billeteras individuales.

¿Hay que actualizar la billetera o mover los XRP?

No. Se actualizan los servidores de la red: nodos y validadores. El dueño de una billetera no necesita hacer nada, y los correos que piden "actualizar la billetera" desde un enlace no se responden.

¿Cuántos XRP existen en total?

100.000 millones, todos creados en el lanzamiento de la red en 2012. El protocolo no puede emitir XRP nuevos, por eso un error que permite crear monedas se considera crítico.

¿Quién encontró la vulnerabilidad?

El investigador Cayden Liao y Veria AI. La reportaron a los desarrolladores el 22 de septiembre a través del programa de recompensas.