XRPレジャー、権限委任を有効化 バッチ機能は9日夜に予定

XRPレジャー（XRPL）で、あるアカウントが送金やトークン承認といった特定の業務だけを別のアカウントに任せられる「権限委任」機能が、韓国時間9日午前6時29分にメインネットで有効になった。XRPLエクスプローラーのXRPSCANによると、このルール変更（アメンドメント）「PermissionDelegationV1_1」はレジャー番号1億752万4865で有効化された。2025年にセキュリティ上の欠陥が見つかって止まった初版を修正し、改めて提出したものだ。

XRPLのアメンドメントは、信頼されたバリデーターの80%超の支持が2週間途切れずに続いて初めて有効になる。権限委任は韓国時間9月25日午前6時25分にこの基準を超え、2週間の期間を満了した。同じ仕組みで待機中のバッチ取引アップグレード2件も、支持が維持されれば9日夜に順に有効化される。

マスターキーは金庫に、実務は補助アカウントが担う

権限委任では、アカウントの所有者が「DelegateSet」取引を使い、別のアカウント（委任先）が代わりに送れる取引の種類を決めておく。委任先は所有者の鍵ではなく自分の鍵で署名し、許可された種類の取引だけを送れる。取引手数料も委任先が支払う。1つの委任先に与えられる権限は最大10個で、所有者はいつでもDelegateSetを再送して権限を変更・撤回できる。

アカウント設定の変更取引全体（AccountSet）、補助鍵の指定（SetRegularKey）、マルチシグ署名者リストの変更（SignerListSet）、委任設定（DelegateSet）、アカウント削除（AccountDelete）など、アカウントの支配権に直結する取引はまるごと任せることはできない。ドメイン変更など一部の設定だけを個別権限として別に任せられる。XRPLの公式ドキュメントは、この機能により頻繁に使うオンラインの鍵で日常業務を処理し、マスターキーはオフラインに置いておけると説明している。特に利用者を1人ずつ承認しなければならないステーブルコイン発行体のように、規制対応業務が多いところで役立つとしている。

初版は他人のアカウントに手数料を負わせられた

XRPL公式サイト（xrpl.org）に2025年9月29日に掲載された脆弱性報告書によると、初版（PermissionDelegation）は取引の署名を確認する前に権限を確認していた。このため署名が不正な取引でも「権限なし」の失敗として処理されて手数料が差し引かれ得たため、攻撃者が高い手数料を付けた偽の取引で他人のアカウントのXRPを削り取れる仕組みになっていた。欠陥はコミュニティ開発者「tequ」が2025年9月15日、開発ネットでテスト中に見つけた。

当時この機能はメインネットで有効になる前だったため、被害はなかった。初版はサーバーソフトウェア2.6.1以降で無効化され、バリデーターは反対票を投じて有効化を阻止した。修正版は署名を確認する前には手数料を課さないよう変更され、サーバーのバージョン3.3.0で初めて導入された。

トークン焼却の権限はまだ任せるな

XRPL公式のアメンドメント一覧は、後続の修正案「fixCleanup3_4_0」が有効になるまで、トークン焼却用の個別権限（PaymentBurn）は委任しないよう推奨している。修正前は、この権限を受けたアカウントが特定の条件下で新しいトークン（トラストライン・トークンやMPT）を発行できてしまう恐れがあるためだ。ほかの個別権限には影響がないとも付け加えた。9日午後時点のXRPSCANによると、この修正案はまだ80%の支持を得ておらず、2週間の待機にも入っていない。

アップビットのXRPは1916ウォン、1年前の高値の半分以下

9日午後3時30分ごろ、XRPは韓国の取引所アップビットのウォン建て市場で1916ウォンで取引された。前日終値から1.0%高い水準だ。同時刻にビッサムでも1916ウォン、バイナンスの現物市場では1.4006ドルだった。アップビットの価格は、1ドル＝1342ウォンで換算したバイナンス現物価格より約1.9%高く、キムチプレミアム（韓国の取引所価格と海外価格の差）が生じていた。アップビットでのXRPの直近52週高値は、2025年10月27日に付けた3970ウォンだ。