AIツールがハッカーが攻撃できる前に、重要なXRPレジャーのバグを検出

• 広告 -

AI駆動のセキュリティ監査ツールが、2026年2月にXRPレジャー内で致命的なダブルスペンドの脆弱性を特定し、単一のウォレットが触れられる前にユーザー資産の数億ドル規模の損失を防げる可能性があった。

バグが実際にやったこと

この脆弱性は、2つの特定のXRPL機能の交点に存在していた。部分支払い（Partial Payments）と、ある種のエスクロー風スマートコントラクトロジックである。単体では、どちらの機能も問題ではなかった。だが、特定の条件下で組み合わさることで、意図したXRPのほんの一部しか実際には移動していないにもかかわらず、支払いが完全に決済されたとレジャーに記録させてしまう可能性のあるエクスプロイト経路が生まれた。

そのようなエクスプロイトの現実的な標的になり得たのは、レジャー上で稼働する自動マーケットメーカー（AMM）や分散型取引所（DEX）だった。どちらも、正確な決済ロジックに依存して正しく機能する。実際には部分的な価値しか届けていないのに、完全なものとして読めるトランザクションは、会計が間違っていることに誰も気づく前に、AMMやDEXから流動性を吸い取ってしまうまさにその種の不一致である。

このバグは単純ではなかった。標準的な人間による監査プロセスではめったに表面化しない、エッジケース同士の相互作用をシミュレーションする必要があった。だからこそ、AIセキュリティツールが見つけるまで未発見だった。

どのように見つかり、どう修正されたか

発見は、形式検証（formal verification）手法を用いるAI監査ツールによるものだとされており、CertiKまたはImmunefiの領域で事業を行っている企業からのものだと報告されている。形式検証は、コードの振る舞いを、数十億にも及ぶ可能なトランザクション状態にまたがって数学的にモデル化することで行う。そこには、人間の監査人がテストしようと考えない組み合わせも含まれる。なぜなら、それらは通常の利用パターンの外側にあるからだ。その脆弱性は、その組み合わせの1つに存在していた。

発見後、XRPL FoundationとRippleのエンジニアリングチームは、公開に先立ってセキュリティ企業と非公開で協力し、パッチを開発した。その後、修正はXRPLの標準的なアメンドメント（amendment）ガバナンス手続きにより提出された。採用には、14日間にわたってバリデータ・ネットワークから80%のコンセンサスが必要とされる。アメンドメントは可決された。資金は失われなかった。ゼロ。

修正は、rippledバージョン2.3.0以降に統合されている。

                暗号市場には価格に織り込むべき最後の1つの材料があり、それは日曜日に到来する

なぜガバナンスへの対応が重要なのか

技術的な修正は物語の一部にすぎない。ガバナンスへの対応がもう一方だ。XRPLは、ハードフォークなしで、チェーン分断なしで、ネットワーク停止期間なしで、致命的な脆弱性を解消した。XRPLの批判者が時として「遅い」や「過度に保守的」と評してきたアメンドメントプロセスが、確かに深刻なセキュリティ問題を、効率よく、そしてユーザーへの付随的な被害（コラテラルダメージ）なしで処理した。

Rippleの支払いインフラを利用する機関投資家にとって、その結果には実際の重みがある。悪用前に、コードロジックのレベルで重大な欠陥をパッチできる主要なレイヤー1ネットワークであり、秩序立ったバリデータのコンセンサス手順を通じて修正するという、その種の運用実績は、会話が大規模な機関導入へとシフトするときに重要になってくる。

より広いシグナル

この出来事は、生成AIによる監査ツールが、人間のレビューで見逃された脆弱性を、本番のブロックチェーン基盤で特定したという、より重要な初期事例の1つを示している。意味するのは、人間の監査人が不要だということではない。機械スケールでの形式検証と、人間の専門知識の組み合わせは、どちらか一方だけでは生み出せない、実質的により強固なセキュリティ態勢を作る、ということだ。