XRP Ledger Dicht Een Lek Dat Ongeautoriseerd Tokens Kon Minten

Samenvatting: Het XRP Ledger-netwerk staat op het punt een lek te dichten waarbij accounts die alleen toestemming hadden om tokens te vernietigen, onder specifieke voorwaarden óók nieuwe tokens konden aanmaken — zonder dat de uitgevende partij dat ooit goedkeurde. De fix heet fixCleanup3_4_0 en moet woensdag 4 november om 14:46 UTC (15:46 Nederlandse tijd) live gaan, als de steun van validators standhoudt. Er is geen bewijs dat het lek ooit daadwerkelijk is misbruikt, en je eigen XRP is niet geraakt: het gaat uitsluitend om tokens die derde partijen via het netwerk uitgeven, zoals stablecoins op zogeheten trust lines.

Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.

33 van de 35 trusted validators op het XRP Ledger-netwerk — 94,29% — staan op het moment van schrijven vóór een fix die morgen live moet gaan. Ik volg dit soort amendement-stemmingen al jaren, sinds ik in 2013 in crypto stapte, en wat me hier opvalt is hoe stil dit verhaal is gebleven. Geen paniek, geen koersklap, geen trending hashtag — en toch gaat het over een mechanisme dat, in theorie, nieuwe tokens had kunnen laten ontstaan zonder dat de uitgever van die tokens daar ooit toestemming voor gaf. Precies het soort verhaal dat onder de radar blijft terwijl het eigenlijk best interessant is.

Wat is er precies mis met PaymentBurn?

Op XRP Ledger kan een uitgever van een token (denk aan een stablecoin-uitgever die zijn munt via het netwerk uitbrengt) specifieke rechten overdragen aan een ander account, via een zogeheten DelegateSet-transactie. Eén van die rechten heet PaymentBurn: de bevoegdheid om namens de uitgever tokens te vernietigen, zonder dat een saldo daarbij onder nul mag komen. Precies hier zit het probleem. Onder bepaalde omstandigheden kon een delegate die alleen PaymentBurn-rechten had, in plaats van tokens te verbranden, juist nieuwe tokens aanmaken.

“XRP Ledger kwam deze week dichter bij het activeren van een fix voor een lek waardoor accounts die alleen toestemming hadden om tokens te verbranden, onder bepaalde voorwaarden nieuwe tokens konden aanmaken.”

— crypto.news, 2 november 2026

De officiële XRPL-documentatie is daar zelf opvallend expliciet over. Die omschrijft PaymentBurn als het recht om “betalingen te versturen die fungible tokens of MPT’s verbranden, maar niet voorbij een nul-saldo” — met daarachter een eigen waarschuwing dat een delegate met die permissie “onder bepaalde omstandigheden ook nieuwe fungible tokens (trust line tokens of MPT’s) kan minten”. Nog onhandiger: een uitgever kan die permissie niet beperken tot één specifieke munt. Geef je PaymentBurn-rechten weg, dan geef je ze weg voor al je tokens tegelijk.

Belangrijk om te beseffen: dit raakt niet de native XRP-voorraad. Het gaat specifiek om uitgegeven tokens — munten die een derde partij op het netwerk zet via een trust line, zoals een stablecoin of een ander project-token. Dat onderscheid tussen een natieve coin (XRP zelf, verankerd in het protocol) en een token dat ván een partij óp een bestaande blockchain wordt uitgegeven, is nou precies het soort verwarring waar startende crypto-beleggers vaak tegenaan lopen. Ik leg dat onderscheid, en wat het voor je betekent als je ergens in investeert, wat uitgebreider uit in mijn gids voor crypto-beginners.

Hoe werkt zo’n amendement-stemming eigenlijk?

Een fix op XRP Ledger wordt niet zomaar doorgedrukt door Ripple of wie dan ook — het netwerk werkt met een stemprocedure onder validators, de computers die transacties controleren en blokken produceren. Zo gaat dat in de praktijk:

1. Ontwikkelaars stellen een amendement voor: een stuk code dat een specifieke regelwijziging aan het protocol toevoegt, in dit geval fixCleanup3_4_0.
2. Validators geven hun steun door het amendement te ondersteunen in hun software-versie (hier: xrpld 3.4.0).
3. Zodra meer dan 80% van de trusted validators 14 dagen onafgebroken steun geeft, activeert het amendement vanzelf, op een vast tijdstip.
4. Zakt de steun ooit onder die drempel, dan begint de telling helemaal opnieuw. Dat gebeurde hier op 21 oktober: de eerste poging liep na ruim twaalf dagen stuk, waarna een nieuwe teller begon.

Die nieuwe telling staat er inmiddels bijna: op het moment van schrijven steunen 33 van de 35 trusted validators het amendement, 94,29%, en de teller loopt al meer dan twaalf van de veertien vereiste dagen. Blijft dat zo, dan activeert fixCleanup3_4_0 automatisch op woensdag 4 november 2026 om 14:46 UTC — 15:46 Nederlandse tijd, want we zitten inmiddels in wintertijd.

“Developers are working to close the loophole through the fixCleanup3_4_0 amendment, which currently targets November 4 for activation” — “XRPL therefore recommends that account owners avoid granting it until the fix takes effect.”

— Coin Edition, 2 november 2026

Is dit dezelfde bug als die van afgelopen oktober?

Nee, en dat is een onderscheid dat de moeite waard is om scherp te houden. Begin oktober ging het over een heel andere kwestie: een fout in de Batch-functie van XRP Ledger, waarmee in theorie tot 18 biljoen XRP had kunnen worden gecreëerd. Die bug zat in een compleet ander onderdeel van het protocol en is op 9 oktober al gedicht met de release van xrpld 3.3.0. Het PaymentBurn-probleem van nu zit in de DelegateSet-permissiestructuur die pas met xrpld 3.4.0 is geïntroduceerd — een nieuwe functie met een nieuw, apart lek, niet een terugkeer van het oude probleem.

Wat de twee gevallen wel gemeen hebben: in geen van beide is ooit bevestigd dat het lek daadwerkelijk is misbruikt. Geen van de bronnen die ik voor dit artikel heb nagelopen — crypto.news, Altcoin Buzz en Coin Edition — noemt een getroffen uitgever, een gestolen bedrag of een geïdentificeerde dader. De toon is overal preventief: “dicht het lek voordat het een probleem wordt”, niet “herstel de schade van een hack”.

Wat betekent dit voor jou als XRP-houder?

Voor de meeste lezers hier: vrijwel niets. Heb je XRP op een exchange staan of in een hardware wallet, dan ben je niet geraakt — native XRP valt buiten dit lek. Alleen uitgevers van tokens op XRP Ledger (denk aan stablecoin-projecten of andere partijen die een eigen munt via het netwerk uitbrengen) moeten tot 4 november voorzichtig zijn met het weggeven van PaymentBurn-rechten aan derde accounts.

Wil je zelf XRP kopen of verhandelen, dan kan dat gewoon bij de gangbare exchanges — dit verhaal verandert daar niets aan. Zelf gebruik ik voor dat soort aankopen meestal Bybit of OKX, en voor wie liever met een vaste, vertrouwde partij werkt is Kraken ook een solide optie. Beheer je grotere bedragen aan XRP of andere crypto zelf, dan blijft self-custody via een hardware wallet zoals de Ledger Nano S Plus de veiligste keuze — onafhankelijk van wat er op protocolniveau bij een specifiek netwerk gebeurt.

Conclusie

Dit is uiteindelijk een verhaal over hoe gezond het XRPL-ontwikkelproces eruitziet wanneer het goed werkt: een subtiele fout in een relatief nieuwe permissiestructuur, ontdekt vóórdat er schade is, gedocumenteerd in de officiële docs met een duidelijke waarschuwing, en binnen enkele weken gerepareerd via het bestaande validator-stemmechanisme. Geen hack, geen paniek, geen koersreactie — gewoon infrastructuur die doet wat ze moet doen. Toch is het de moeite waard om te onthouden hoe specifiek dit soort lekken vaak zijn: niet “je XRP is in gevaar”, maar “een nieuwe, nog relatief onbekende permissie bleek niet helemaal waterdicht”. Hou je niet actief bezig met het uitgeven van tokens op XRP Ledger, dan is 4 november voor jou vooral een datum om te weten dat weer bewezen is dat dit soort open-source protocollen zichzelf voortdurend blijven controleren.