Der XRP Ledger hat eine kritische Schwachstelle geschlossen, durch die eine einzige Zahlung rund 18 Billionen ausgabefähige XRP hätte erzeugen können. Das Notfall-Update kam, bevor es Hinweise auf eine Ausnutzung in öffentlichen Netzwerken gab: Laut den veröffentlichten Untersuchungsergebnissen wurden keine unautorisierten XRP geschaffen und keine Gelder verloren.
Das Wichtigste im Überblick:
- Eine kombinierbare Schwachstelle hätte in einer Transaktion rund 18 Billionen XRP erzeugen können.
- Die Entwickler behoben den Fehler mit Version 3.4.1, ohne das übliche Abstimmungsverfahren abzuwarten.
- Die Untersuchung fand keine Hinweise auf Ausnutzung oder neu geschaffene XRP auf öffentlichen Netzwerken.
Notfall-Update schloss die Lücke in drei Tagen
Ein KI-gestützter Sicherheitsagent von Veria Labs entdeckte zwei zusammenwirkende Schwachstellen im XRP Ledger (XRPL). Laut CryptoSlate hätte ein Angreifer sie verbinden können, um mit einer einzelnen Transaktion etwa 18 Billionen ausgabefähige XRP zu erzeugen – rund das 180-Fache der ursprünglichen Gesamtmenge von 100 Milliarden Token. Auch The Crypto Basic und crypto.news berichten über das potenzielle Ausmaß und die anschließende Fehlerbehebung.
Im Kern ging es um einen sogenannten Integer-Overflow: Eine Berechnung überschreitet dabei den Zahlenbereich, den die Software verarbeiten kann, und kann dadurch einen falschen, deutlich kleineren Wert ergeben. Im Zahlungssystem hätte der Fehler bewirken können, dass Verkäufer den vollen XRP-Betrag erhielten, während dem Käufer nur ein Bruchteil belastet wurde. Eine zweite Schwachstelle in der Schutzfunktion für das Angebot hätte die Differenz demnach nicht erkannt.
Die Lücke wurde am 22. September gemeldet und drei Tage später mit der Version 3.4.1 behoben. RippleX, die XRP Ledger Foundation und Validatoren koordinierten das Notfall-Upgrade. Mehr als 80 Prozent der Validatoren auf der Standardliste hatten bis zum 25. September aktualisiert. Die Aktivierungen im XRP Ledger verdeutlichen, wie eng solche technischen Änderungen mit dem Softwarestand der Validatoren verbunden sind.
Normalerweise benötigen Änderungen an der Transaktionsverarbeitung die Unterstützung von mehr als 80 Prozent der vertrauenswürdigen Validatoren über zwei aufeinanderfolgende Wochen. Diesmal warteten die Entwickler nicht auf dieses Verfahren: Eine Abstimmung hätte die Schwachstelle während der Wartezeit offenlassen können. Zudem bestand das Risiko, dass eine frühe Veröffentlichung des quelloffenen Patches Angreifern Hinweise auf den Fehler gegeben hätte.
Das Risiko betraf vor allem das Vertrauen in das Angebot
Die theoretische Möglichkeit, zusätzliche XRP in Umlauf zu bringen, hätte die Glaubwürdigkeit der festen Angebotsgrenze berührt. Veria Labs bezifferte den potenziell gefährdeten Marktwert laut CryptoSlate auf rund 94 Milliarden US-Dollar. Diese Zahl beschreibt eine mögliche Gefährdung zum damaligen Zeitpunkt, nicht einen tatsächlich entstandenen Schaden oder einen bestätigten Verlust.
Die Schwachstelle war auch deshalb bemerkenswert, weil Teile der betroffenen Software lange bestanden: Der Code der Payment Engine stammte aus dem Jahr 2015, die betroffene Schutzfunktion für das Angebot wurde 2017 eingeführt. Laut CryptoSlate hatte die XRPL-Codebasis seit 2024 mehr als ein Dutzend Audits und Sicherheitswettbewerbe durchlaufen; Bug-Bounty-Programme zahlten insgesamt mehr als eine Million US-Dollar aus. Veria erhielt für die Meldung die maximale Prämie von 250.000 US-Dollar.
Der Fall zeigt, dass auch etablierte und wiederholt geprüfte Protokollkomponenten neue Tests benötigen. Daraus folgt jedoch nicht, dass andere Netzwerke dieselbe Schwachstelle aufweisen. Für XRP-Anleger ist die Unterscheidung entscheidend: Das Angebot wurde nach den veröffentlichten Untersuchungsergebnissen nicht verwässert, doch die Sicherheitslücke hätte das Vertrauen in seine Begrenzung beeinträchtigen können. Die Datenintegrität des XRP Ledger ist damit nicht nur eine technische Frage, sondern auch ein Faktor für die Wahrnehmung des Netzwerks.
RippleX plant mehr KI-Tests und formale Verifikation
RippleX will nach Angaben von Engineering-Chef J. Ayo Akinyele die KI-gestützte Suche nach Schwachstellen und adversariale Tests ausbauen. Besonders ältere Bestandteile wie die Payment Engine, der Konsens und die Peer-to-Peer-Kommunikation sollen stärker geprüft werden.
Außerdem soll die formale Verifikation beschleunigt werden. Dabei wird mathematisch untersucht, ob Software festgelegte Sicherheitseigenschaften erfüllt; laufende Arbeiten betreffen unter anderem das Lending Protocol und den Single Asset Vault. Eine weitere Änderung betrifft die Abschlussprüfung: Als behoben eingestufte Sicherheitsfunde sollen künftig nochmals anhand von Release-Kandidaten getestet werden, bevor sie formell geschlossen werden.
Warum Sie 99Bitcoins vertrauen können
99Bitcoins wurde 2013 gegründet und verfügt über ein Team von Experten, deren Erfahrung bis in die Anfänge der Kryptozeit zurückreicht.
Wöchentliche Recherche
100k+Monatliche Leser
Experten
2000+Krypto-Projekte unter die Lupe genommen
