Un concurso de auditoría comunitaria de 550.000 dólares descubrió dos vulnerabilidades críticas en las funciones de XRP Ledger que podrían haber vaciado cuentas de usuarios sin claves privadas. Los hallazgos revelan cómo el modelo de auditoría antes del lanzamiento de Ripple diverge drásticamente de la norma de la industria criptográfica más amplia de parchear después de la explotación.
Resumen
- El concurso de auditoría de dos semanas de Sherlock, que se abrió el 13 de abril de 2026, descubrió 96 vulnerabilidades válidas en cinco enmiendas propuestas de XRP Ledger, incluyendo 2 críticas y 6 de alta gravedad, antes de que cualquiera de ellas llegara a la red principal.
- Ripple pagó 309.000 dólares en recompensas RLUSD de un fondo de premios de 550.000 dólares, marcando la primera colaboración entre Sherlock y Ripple y uno de los concursos de auditoría más grandes de 2026.
- El hallazgo más grave fue un fallo de validación de firmas en la enmienda Batch que habría permitido a los atacantes ejecutar transacciones desde cualquier cuenta sin tener sus claves privadas, identificado por primera vez el 19 de febrero de 2026 por el investigador Pranamya Keshkamat y la herramienta de IA Apex de Cantina.
- Un error crítico separado en Delegación de Permisos permitía a actores maliciosos drenar silenciosamente saldos de XRP mediante cargos de tarifas repetidos en transacciones delegadas inválidas, porque el código verificaba los permisos antes de verificar las firmas.
- Los exploits DeFi superaron los 840 millones de dólares en más de 50 incidentes solo en los primeros cinco meses de 2026, un aumento interanual del 70%, y el 70% de los contratos explotados habían sido auditados pero carecían de monitoreo posterior al despliegue.
XRP Ledger versión 3.3.0 se lanzó el 6 de agosto de 2026, con cinco enmiendas propuestas y un parche de limpieza incluido. En papel parecía un lanzamiento de infraestructura rutinario. Por debajo, la actualización representaba la conclusión de un desafío de seguridad de seis meses que atrapó dos errores de drenaje de cuentas, reescribió dos implementaciones de funciones completas desde cero y pagó cientos de miles de dólares a investigadores externos que encontraron problemas que el equipo interno había pasado por alto. El proceso plantea una pregunta contundente para la industria blockchain en general: si Ripple puede detectar fallas críticas antes del despliegue, ¿por qué gran parte de la criptoindustria todavía trata las auditorías de seguridad como una casilla de verificación posterior al lanzamiento?
Este artículo desglosa qué eran realmente las dos vulnerabilidades críticas a nivel técnico, examina cómo el pipeline de auditoría-votación-activación se compara con los modelos de seguridad de las cadenas competidoras y evalúa si los hallazgos fortalecen o debilitan el caso de XRPL como infraestructura de grado institucional.
Lo que realmente encontró el concurso de Sherlock
El alcance cubrió cinco pilares de la próxima funcionalidad de XRPL: Transacciones por Lotes, Delegación de Permisos, Integración DEX de Token Multipropósito (MPT), Transferencias Confidenciales para MPTs y Tarifas y Reservas Patrocinadas. Sherlock, una firma de seguridad Web3 que clasifica a los investigadores por rendimiento y estructura los compromisos como concursos adversariales, abrió la auditoría el 13 de abril de 2026, con un fondo de premios de 550.000 RLUSD. La página del concurso en la plataforma de Sherlock listaba el compromiso como "XRP Ledger – Concurso de abril de 2026 – 550.000 RLUSD", señalando que Ripple pagó las recompensas en su propia stablecoin.
Durante dos semanas, los participantes presentaron informes que sacaron a la luz 96 hallazgos válidos: 2 críticos, 6 altos, 29 medios y 59 de baja gravedad. Ripple distribuyó 309.000 dólares en RLUSD a los contribuyentes. El fondo restante cubrió los costos operativos de Sherlock y hallazgos de nivel inferior que no alcanzaron el umbral de pago.
El concurso marcó la primera colaboración formal entre Sherlock y Ripple, y llegó en un momento en que el pipeline de funciones de XRP Ledger se expandía más rápido que en cualquier otro momento de su historia. Cinco enmiendas enviadas simultáneamente significaban cinco superficies de ataque distintas, cada una con su propia lógica de transacción, modelo de autorización y requisitos criptográficos. Para contexto, el modelo de concurso de auditoría de Sherlock ha sido utilizado anteriormente por protocolos como Aave, Euler y Olympus DAO, pero un compromiso que cubriera código de nivel de protocolo en C++ para una blockchain de capa uno era atípico para una plataforma más comúnmente asociada con contratos inteligentes Solidity.
La distribución de gravedad en sí misma cuenta una historia. Los 29 hallazgos de gravedad media sugieren una categoría de errores que no comprometerían cuentas individualmente pero podrían causar comportamiento inesperado bajo secuencias de transacciones específicas. Los 59 problemas de baja gravedad probablemente incluyen preocupaciones de calidad de código, brechas de documentación y casos límite que podrían agravarse bajo condiciones adversas. Los dos errores críticos y seis de alta gravedad, sin embargo, representaban vulnerabilidades explotables que requerían remediación inmediata.
El error de la enmienda Batch que podría haber vaciado cuentas
La vulnerabilidad más peligrosa precedió al concurso de Sherlock por dos meses. El 19 de febrero de 2026, el investigador de seguridad Pranamya Keshkamat y la herramienta autónoma de auditoría de IA de Cantina, Apex, identificaron de forma independiente un fallo de validación de firmas en la enmienda Batch original mientras aún estaba en su fase de votación de validadores.
El fallo técnico era preciso. Las transacciones Batch permiten ejecutar hasta ocho operaciones de forma atómica bajo una única transacción externa. El código de validación de firmas de la transacción externa contenía una condición de salida anticipada que podía satisfacerse sin verificar adecuadamente quién autorizaba las transacciones internas. En la práctica, un atacante podría haber construido una transacción Batch que contuviera operaciones de Pago internas dirigidas a una cuenta víctima, drenándola hasta su saldo de reserva, sin tener nunca las claves privadas de esa cuenta. La misma brecha lógica habría permitido operaciones no autorizadas de AccountSet, TrustSet o AccountDelete.
El informe de divulgación de vulnerabilidad publicado en xrpl.org detallaba la mecánica: la verificación del firmante en la transacción externa podía pasar sin confirmar que la entidad que enviaba el lote realmente controlaba las cuentas referenciadas en las transacciones internas. Esto significaba que la característica de atomicidad diseñada para mejorar la experiencia del usuario podría haber sido utilizada como arma para vaciar cualquier cuenta en la red en una sola transacción.
RippleX respondió con un lanzamiento de emergencia. La versión 3.1.1 de rippled, publicada el 23 de febrero de 2026, cuatro días después del descubrimiento, marcó tanto la enmienda Batch original como su acompañante fixBatchInnerSigs como no compatibles, impidiendo que los validadores votaran o las activaran. No se perdieron fondos porque la enmienda aún no había superado el umbral del 80% de validadores requerido para su activación. El reemplazo, BatchV1_1, se incluyó en la versión 3.3.0 con la condición de salida anticipada eliminada, se agregaron protecciones de autorización adicionales y se amplió el alcance de la verificación de firmas para verificar cada transacción interna de forma independiente contra el firmante correcto.
La explotación silenciosa de drenaje de tarifas de Permission Delegation
La segunda vulnerabilidad crítica operaba a través de un mecanismo más sutil. Una divulgación de septiembre de 2025 documentó cómo la implementación original de Permission Delegation permitía a un atacante drenar silenciosamente el saldo de XRP de una cuenta víctima sin acceder a sus claves.
La explotación se basaba en una característica de diseño del procesamiento de transacciones del XRP Ledger que ha existido desde los primeros días de la red. En XRPL, una transacción que falla con un error de clase "tec" aún incurre en un cargo de tarifa, mientras que los errores detectados antes en el pipeline, antes de la verificación de firmas, no lo hacen. Esta distinción existe porque los fallos de clase tec indican transacciones que estaban correctamente formadas y firmadas pero fallaron por razones de lógica de negocio, y la tarifa previene el spam. El código original de Permission Delegation verificaba si una cuenta delegada tenía el permiso relevante antes de verificar la firma de la transacción. Un atacante podría enviar repetidamente transacciones inválidas firmadas fuera de línea con tarifas elevadas contra una cuenta delegada, y cada transacción fallida aún deduciría la tarifa del saldo de la víctima.
El impacto económico se habría agravado rápidamente. Debido a que el atacante podía establecer tarifas arbitrariamente altas en estas transacciones, un ataque sostenido podría drenar una cuenta mucho más rápido de lo que sugerirían las tarifas de transacción normales. La víctima vería su saldo disminuyendo sin pagos salientes correspondientes, lo que dificultaba el diagnóstico del ataque sin examinar los metadatos brutos de la transacción.
La corrección reclasificó el error relevante de tec a ter y reordenó las comprobaciones para que no se pueda deducir ninguna tarifa antes de que pase la verificación de firmas. La enmienda de reemplazo, PermissionDelegationV1_1, lleva una designación predeterminada de "No" en el registro 3.3.0, lo que significa que los validadores deben votar activamente para habilitarla. Este valor predeterminado conservador refleja la sensibilidad del fallo original: incluso después de la reescritura, Ripple optó por requerir la aceptación explícita de los validadores para la característica.
Por qué ambas reescrituras se lanzaron en una sola versión
Empaquetar dos enmiendas reescritas por seguridad junto con tres características completamente nuevas en una sola versión fue una decisión deliberada. RippleX publicó xrpld 3.3.0 el 6 de agosto de 2026, con el código para las seis propuestas (incluyendo una enmienda de limpieza agrupada llamada fixCleanup3_3_0) presente pero ninguna de ellas activada. Bajo el proceso de enmienda de XRP Ledger, cada propuesta debe mantener más del 80% de soporte de validadores durante dos semanas consecutivas antes de entrar en vigor.
Esta separación entre la disponibilidad del código y la activación de características es una ventaja estructural que la mayoría de las plataformas de contratos inteligentes carecen. En Ethereum, un contrato desplegado está activo en el momento en que llega a la blockchain. En XRPL, el código puede enviarse, someterse a una revisión adicional durante el período de votación, y aún así ser bloqueado si los validadores pierden confianza. Las reescrituras de Batch y Permission Delegation ya habían sobrevivido al concurso de Sherlock, una re-auditoría de Halborn que encontró cero problemas críticos o de alto riesgo, y meses de pruebas internas. El período de votación agrega otra capa de defensa antes de que cualquier código toque fondos reales.
La versión también retiró cinco enmiendas heredadas, incluyendo Clawback, fixDisallowIncomingV1, fixInnerObjTemplate, fixNFTokenReserve y fixUniversalNumber, eliminando rutas de código muerto que de otro modo podrían acumularse como superficie de ataque latente con el tiempo.
Las cinco enmiendas de características en 3.3.0 representan la expansión única más amplia de las capacidades de XRPL hasta la fecha. Las Transferencias Confidenciales traen cifrado EC-ElGamal y pruebas de conocimiento cero a los Tokens de Propósito Múltiple, protegiendo los saldos individuales y los montos de transferencia de la vista pública mientras se preserva el acceso de cumplimiento para las partes autorizadas. Las Tarifas Patrocinadas permiten que las aplicaciones cubran los costos de red en nombre de los usuarios, abordando la fricción de incorporación que ha mantenido a las aplicaciones orientadas al consumidor fuera de las redes descentralizadas. DynamicMPT permite a los emisores modificar las propiedades del token después de la creación, apoyando los requisitos regulatorios y comerciales en evolución. Junto con las reescrituras de Batch y Permission Delegation, estas características se dirigen a una audiencia específica: instituciones financieras reguladas que necesitan privacidad, liquidación atómica y operaciones delegadas sin sacrificar la auditabilidad.
Auditoría antes del lanzamiento versus parche después de la explotación
El contraste entre el enfoque de Ripple y el historial de seguridad de la industria en general es marcado. Las explotaciones de DeFi superaron los $840 millones en más de 50 incidentes en los primeros cinco meses de 2026, un aumento interanual del 70% en comparación con el mismo período en 2025. Los actores vinculados a Corea del Norte representaron el 76% de las pérdidas globales por hackeos de criptomonedas en los primeros cuatro meses del año. Y la estadística más condenatoria: el 70% de los contratos explotados habían sido auditados pero carecían de cualquier forma de monitoreo posterior al despliegue. Solo el 4% de los proyectos rastreados combinaron auditorías, programas de recompensas por errores activos y controles de monitoreo de terceros.
El ecosistema de Ethereum, hogar de la mayor concentración de valor en contratos inteligentes, opera bajo un modelo de seguridad fundamentalmente diferente. Los contratos se despliegan en la red principal a través de una transacción inmutable. Si una vulnerabilidad surge después, las opciones son limitadas: desplegar un nuevo contrato y migrar a los usuarios, implementar un patrón de actualización de proxy que introduce su propia superficie de ataque, o aceptar el riesgo. El hackeo del puente Wormhole de 2022 costó $320 millones porque una función de verificación obsoleta permaneció en el código de producción. La explotación de Ronin en agosto de 2024 costó $12 millones porque una actualización de contrato no inicializó correctamente los pesos de los operadores. En ambos casos, se habían realizado auditorías; los fallos ocurrieron después del despliegue.
El hackeo de KelpDAO el 18 de abril de 2026, que drenó aproximadamente $293 millones, fue la mayor explotación de DeFi del año. La explotación del Protocolo Drift en Solana el 1 de abril, que costó aproximadamente $286 millones, fue la más grande jamás registrada en esa cadena. Estas cifras no son eventos marginales. Representan la tasa de fallos de referencia de una industria que ha perdido colectivamente $16.69 mil millones por hackeos, explotaciones de puentes e incidentes de seguridad según datos de DeFiLlama.
El proceso de votación de enmiendas de XRPL invierte esta secuencia. El código se envía en una versión, pero las funciones permanecen inactivas hasta que los validadores las aprueban. Durante la ventana de votación, investigadores, operadores de nodos y auditores competidores pueden examinar el código base en vivo con contexto completo. Si surge un problema, los validadores simplemente retienen sus votos. Sin parche de emergencia, sin migración, sin contrato proxy. El error del lote de febrero de 2026 siguió exactamente este camino: la enmienda estaba en su fase de votación, se identificó la vulnerabilidad y una versión de emergencia evitó la activación. Cero fondos en riesgo, cero impacto para el usuario.
Esto no quiere decir que el modelo XRPL sea impecable. El proceso de enmiendas funciona para características a nivel de protocolo, pero no se extiende a aplicaciones construidas sobre el libro mayor. Una línea de confianza mal codificada o una integración de MPT aún podría perder fondos. Y el umbral del 80% de validadores crea sus propios riesgos: si muy pocos validadores actualizan a una nueva versión, los parches de seguridad legítimos pueden estancarse. Pero para cambios centrales del protocolo, el pipeline de auditoría-votación-activación representa una postura de seguridad materialmente diferente que implementar y esperar.
Lo que esto significa para la propuesta institucional de XRPL
Ripple ha pasado 2026 construyendo una pila de infraestructura institucional a un ritmo agresivo. La adquisición de Hidden Road por $1.25 mil millones, un corredor principal multi-activo renombrado como Ripple Prime, le dio a la compañía una puerta de entrada regulada para las finanzas tradicionales. RLUSD alcanzó una capitalización de mercado de $1.72 mil millones en menos de un año y movió más de $18 mil millones en volumen de transacciones solo durante el primer trimestre. Goldman Sachs reveló una posición de $153.8 millones en cuatro ETFs de XRP. Ripple obtuvo una licencia completa de Institución de Dinero Electrónico de Luxemburgo en febrero, permisos de la Autoridad de Conducta Financiera del Reino Unido en enero, y una licencia de Proveedor de Servicios de Criptoactivos MiCA el 6 de julio.
Las características DeFi institucionales que llegan en la versión 3.3.0 son el contraparte técnico de este impulso de desarrollo empresarial. Las Transferencias Confidenciales abordan los requisitos de privacidad de los bancos que no pueden exponer detalles de transacciones en un libro mayor público. Las Tarifas Patrocinadas resuelven la fricción de incorporación que ha mantenido las aplicaciones bancarias minoristas fuera de las redes descentralizadas. La Delegación de Permisos, una vez que su reescritura supere el proceso de votación, permite los modelos de acceso controlado que los departamentos de cumplimiento requieren.
Pero la adopción institucional depende de la confianza, y la confianza en la infraestructura blockchain en última instancia se reduce al historial de seguridad. El hecho de que Ripple haya detectado dos errores críticos, reescrito dos implementaciones de características completas, pagado a investigadores externos $309,000 para encontrar problemas, y aún así haya entregado las cinco características a tiempo es un punto de venta institucional más fuerte que cualquier característica individual. Sugiere una cultura de seguridad donde encontrar errores es recompensado y donde el envío está subordinado a la verificación.
Más de 300 instituciones financieras en 55 países utilizan actualmente RippleNet, con corredores activos de Liquidez Bajo Demanda en más de 70 mercados. Para esas instituciones, los resultados de la auditoría de Sherlock no son abstractos. Son evidencia de que el código que ejecuta sus pagos transfronterizos ha sido probado bajo estrés por investigadores adversarios con incentivos financieros para romperlo. La hoja de ruta de resistencia cuántica de cuatro fases de Ripple, con objetivo de completarse para 2028, señala además que la compañía está diseñando para horizontes de tiempo institucionales medidos en décadas, no en ciclos de implementación.
El caso opuesto: por qué los escépticos no están convencidos
El argumento más fuerte en contra de leer demasiado en la auditoría de Sherlock corre en dos direcciones.
Primero, encontrar 96 errores antes del lanzamiento puede enmarcarse como evidencia de pruebas exhaustivas o evidencia de desarrollo descuidado. Tanto las vulnerabilidades de Batch como de Delegación de Permisos estaban en las implementaciones originales, lo que significa que superaron la revisión interna antes de que los investigadores externos las detectaran. El error del lote de febrero de 2026 no fue identificado por el propio equipo de Ripple, sino por un investigador independiente y una herramienta de IA. Si los auditores externos son la principal red de seguridad, el proceso de desarrollo interno puede tener brechas de calidad que eventualmente producirán una vulnerabilidad que ningún revisor externo detecte a tiempo.
En segundo lugar, la fortaleza del modelo de enmiendas de XRPL, la capacidad de prevenir la activación durante la ventana de votación, también es una limitación de velocidad. La disposición de Ethereum para implementar e iterar ha permitido un ritmo de innovación que XRPL no puede igualar. Las cinco enmiendas en la versión 3.3.0 han estado en ciclos de desarrollo y revisión durante meses. La enmienda original de Batch fue propuesta en 2025. Para protocolos que compiten por la atención de los desarrolladores en mercados de rápido movimiento, un proceso de seguridad de seis meses puede ser demasiado lento para atraer el ecosistema de constructores que impulsa los efectos de red.
También hay un riesgo de concentración en el conjunto de validadores. El umbral de activación del 80% significa que un número relativamente pequeño de validadores, muchos de los cuales son operados por entidades con estrechos vínculos con Ripple, controlan si las enmiendas entran en vigor. Los críticos argumentan que esto no es gobernanza verdaderamente descentralizada, sino un proceso de aprobación seleccionado disfrazado de lenguaje de consenso. Cuando el propio validador de Ripple votó "sí" a las enmiendas de préstamos en las últimas semanas, subrayó cuánta influencia conserva la empresa sobre su red nominalmente descentralizada.
Finalmente, el pago de $309,000 de un fondo de $550,000 plantea una pregunta práctica sobre la alineación de incentivos. Los investigadores de seguridad de primer nivel exigen tarifas que superan lo que los modelos de concurso típicamente pagan por hora de esfuerzo. Si los auditores más hábiles omiten los concursos de XRPL porque el pago esperado por hallazgo es menor que en compromisos privados, la revisión adversarial puede ser amplia pero no lo suficientemente profunda como para detectar los vectores de ataque más sofisticados.
Estas objeciones tienen peso. XRP se negociaba cerca de $1.03 a finales de julio de 2026, aproximadamente un 71% por debajo de su máximo de ciclo de $3.65 alcanzado el 17 de julio de 2025, lo que sugiere que el mercado aún no ha incorporado la narrativa institucional. Si el historial de seguridad se traduce en adopción depende de factores más allá de la calidad del código: claridad regulatoria, posicionamiento competitivo frente a las soluciones de capa 2 de Ethereum, y si las instituciones se preocupan más por las auditorías previas al despliegue que por el tamaño del ecosistema.
Qué observar
Umbrales de votación de validadores para las cinco enmiendas 3.3.0: si BatchV1_1 y PermissionDelegationV1_1 superan el 80% de apoyo dentro del primer ciclo de votación, indica confianza de los validadores en las reescrituras. Un estancamiento sugeriría preocupaciones persistentes sobre el código reescrito.
Informes de errores posteriores a la activación: la prueba real de la minuciosidad de la auditoría de Sherlock llega después de que las funciones se pongan en marcha. Cero hallazgos críticos en los primeros 90 días validaría el modelo de pre-lanzamiento; cualquier vulnerabilidad posterior a la activación socavaría toda la tesis.
Adopción de RLUSD en Transferencias Confidenciales: el uso institucional de stablecoins en rieles protegidos confirmaría la demanda de liquidación compatible con la privacidad. Las métricas de volumen en el primer trimestre después de la activación serán la señal más clara de si los bancos están listos para transaccionar en un libro mayor público con garantías de privacidad.
Próximo compromiso de Sherlock con XRPL: si Ripple continúa con concursos de auditoría adversarial para futuras enmiendas o vuelve a las auditorías privadas tradicionales indicará cuán profundamente está integrado el modelo de pre-lanzamiento en la cultura de desarrollo.
Incidentes de seguridad competitivos en cadenas: cada exploit importante en Ethereum o Solana que se remonta a una vulnerabilidad posterior al despliegue refuerza el caso del pipeline de auditoría-votación-activación de XRPL. La comparación es tan sólida como el continuo fracaso de la industria en adoptar procesos similares.
¿Qué encontró la auditoría de Sherlock del XRP Ledger?
El concurso de auditoría de dos semanas, que se abrió el 13 de abril de 2026, descubrió 96 vulnerabilidades válidas en cinco enmiendas propuestas de XRPL: 2 críticas, 6 altas, 29 medias y 59 de baja gravedad. Ripple pagó $309,000 en recompensas RLUSD de un fondo de premios de $550,000. Todos los hallazgos se abordaron antes de que cualquiera de las características afectadas se activara en la red principal.
¿Cuál fue el error crítico de la enmienda Batch?
La enmienda Batch original contenía una falla de validación de firmas que permitía a un atacante ejecutar transacciones internas desde cualquier cuenta sin poseer sus claves privadas. El error era una condición de salida temprana en la verificación de firma de la transacción externa que podía satisfacerse sin una verificación de autorización adecuada. El investigador Pranamya Keshkamat y la herramienta de IA de Cantina, Apex, lo identificaron el 19 de febrero de 2026. RippleX lo parcheó en la versión de lanzamiento de emergencia 3.1.1 cuatro días después.
¿Cómo funcionaba la vulnerabilidad de delegación de permisos?
La implementación original verificaba los permisos delegados antes de verificar las firmas de las transacciones. En XRPL, las transacciones que fallan con errores de clase "tec" aún incurren en tarifas. Un atacante podría enviar repetidamente transacciones inválidas con tarifas elevadas contra una cuenta delegada, drenando su saldo de XRP sin poseer nunca sus claves. La corrección reclasificó el tipo de error y reordenó las verificaciones.
¿Se perdieron fondos debido a estas vulnerabilidades?
No se perdieron fondos. Ambas vulnerabilidades críticas se identificaron antes de que sus respectivas enmiendas se activaran en la red principal. El error de Batch se detectó durante la fase de votación de los validadores, y la falla de delegación de permisos se divulgó y parcheó antes de la activación. El proceso de enmienda del XRP Ledger, que requiere un 80% de apoyo de los validadores durante dos semanas consecutivas, proporcionó un amortiguador estructural que evitó la explotación.
¿Qué es Sherlock y cómo funciona su modelo de auditoría?
Sherlock es una empresa de seguridad Web3 que estructura las auditorías como concursos adversariales, clasificando a los investigadores por rendimiento y ofreciendo incentivos financieros a través de fondos de premios. El compromiso con XRP Ledger fue la primera colaboración de Sherlock con Ripple y uno de los concursos de auditoría más grandes de 2026. El modelo difiere de las auditorías privadas tradicionales al invitar a una amplia participación de investigadores de seguridad independientes que compiten por recompensas, lo que saca a la luz una gama más amplia de vectores de ataque de lo que un pequeño equipo interno puede cubrir.
¿Cómo difiere el modelo de seguridad de XRPL del de Ethereum?
El proceso de enmienda de XRPL separa el despliegue de código de la activación de características. Las nuevas características se incluyen en un lanzamiento de software pero permanecen inactivas hasta que los validadores votan para activarlas, creando una ventana de revisión donde las vulnerabilidades pueden detectarse sin parches de emergencia. Los contratos inteligentes de Ethereum están activos desde el despliegue, y corregir vulnerabilidades requiere desplegar nuevos contratos, migrar usuarios o implementar actualizaciones de proxy. En los primeros cinco meses de 2026, los exploits de DeFi superaron los $840 millones, y el 70% de los contratos explotados habían sido auditados pero carecían de monitoreo posterior al despliegue.
¿Qué características incluye la versión 3.3.0 del XRP Ledger?
La versión 3.3.0, lanzada el 6 de agosto de 2026, contiene código para cinco enmiendas de características y un parche de limpieza. Las características incluyen Transferencias Confidenciales para Tokens Multipropósito usando pruebas de conocimiento cero, Transacciones por Lotes reescritas para liquidación atómica de múltiples operaciones, Delegación de Permisos reescrita para acceso controlado a cuentas, Tarifas Patrocinadas que permiten a las aplicaciones cubrir los costos de los usuarios, y DynamicMPT que permite a los emisores modificar las propiedades de los tokens después de su creación.
¿Esta auditoría hace de XRPL una inversión segura?
La auditoría de Sherlock refleja un riguroso proceso de seguridad previo al lanzamiento, pero la calidad del código es solo uno de los muchos factores que influyen en los resultados de inversión. XRP cotizaba cerca de $1.03 a finales de julio de 2026, aproximadamente un 71% por debajo de su máximo del ciclo, y el rendimiento del mercado depende de desarrollos regulatorios, tasas de adopción institucional, dinámicas competitivas y condiciones macroeconómicas. Este es un análisis educativo, no un consejo de inversión. **Descargo de responsabilidad**: Este artículo fue publicado el 14 de agosto de 2026. Está destinado únicamente a fines educativos e informativos y no debe interpretarse como asesoramiento financiero, de inversión o legal. Los mercados de criptomonedas son volátiles y conllevan un riesgo sustancial. Los lectores deben realizar su propia investigación y consultar a profesionales calificados antes de tomar cualquier decisión de inversión.
