LONDON (IT BOLTWISE) – Der XRP Ledger hat einen kritischen Fehler im Payment-Engine-Code gepatcht, der bei einer speziell konstruierten Transaktion rechnerisch XRP über die feste Gesamtmenge hinaus erzeugen konnte. Der Kern des Problems war ein Integer-Overflow ohne passende Überlaufprüfung, wodurch Summen in 64-Bit-Arithmetik „wrappten“. Die Korrektur wurde als Notfall-Release xrpld 3.4.1 ausgeliefert und zusätzliche Härtungen für eine spätere Batch-Funktion gleich mitbereinigt. Laut Projektangaben gab es keine Hinweise auf Ausnutzung im öffentlichen Netzwerk, gleichzeitig zeigt der Ablauf, wie schnell eine Regeländerung zentral durch Operatoren umgesetzt werden konnte.
Beim XRP Ledger liegt seit dem 25. September ein Sicherheitsupdate vor, das ein Szenario adressiert, das in Krypto-Communities traditionell Albträume auslöst: eine manipulativ konstruierte Zahlung hätte theoretisch zu „unechten“ XRP außerhalb der fest definierten Angebotsgrenze führen können. Hintergrund ist ein Integer-Overflow im Payment-Engine-Teil der Ledger-Logik. In der Beschreibung des gemeldeten Problems heißt es, dass die Engine die vom Netzwerk geschuldeten Beträge mit 64-Bit-Mathematik aufsummiert, dabei aber ohne Überlauf-Check arbeitet. Sobald die Summe zu groß würde, wrappt das Ergebnis in einen deutlich kleineren Wert – genau dieses Verhalten wäre der Hebel gewesen, um Angebotspartner „voll“ zu bedienen und gleichzeitig für die Gegenleistung praktisch zu wenig zu zahlen.
Technisch ist der Knackpunkt weniger „magisch“ als vielmehr eine klassische Schwachstelle in der Transaktionsauswertung: Die Zahlung, so die Rekonstruktion, konsumiert mehrere Offers aus dem eingebauten Order-Book. Für die Auszahlung der XRP-Beträge summiert die Implementierung dann intern die geschuldete Menge. Weil die Addition in einem 64-Bit-Datentyp ohne Überlaufprüfung erfolgt, kann ein absichtlich riggedes Offer-Setup dazu führen, dass das Summenergebnis rechnerisch verfälscht zurückfällt. Damit beschreibt der Bericht ein Exploit-Muster, das auf deterministischen Rechenpfaden basiert: Der Angreifer benötigt keine Signatur-Kryptografie zu brechen, sondern „nur“ eine Konstellation, in der die Buchungslogik im falschen Zahlenbereich landet.
Für die Angriffsschwelle nennt die Veröffentlichung ein konkretes Ausgabenmodell, das vor allem operationalen Aufwand und Kapitalbindung sichtbar macht: Ein Profit wäre demnach mit nur wenigen hundert Konten möglich gewesen, die absurd bepreiste Offers platzieren. Eine einzelne Zahlung, die diese Offers dann in einem Durchlauf abarbeitet, hätte den kritischen Rechenpfad triggern müssen. Dazu kommt die nötige Liquidität für die beteiligten Reserven und Gebühren: Der Bericht spricht von einigen hundert US-Dollar an XRP in „refundable reserves“ plus Gebühren – eine Größenordnung, die zeigt, dass selbst bei kapitalintensiven Systemen manchmal die Angriffslogik selbst den Preis bestimmt. Wie viel echter Marktwert aus einem solchen theoretischen „Coin-Printing“ hätte realisiert werden können, bleibt zugleich unklar, weil der Bericht offen lässt, wie gut sich große XRP-Mengen ohne Preis- oder Liquiditätsverwerfungen verkaufen ließen.
Besonders aufmerksamkeitsstark ist jedoch nicht nur die eigentliche Codeänderung, sondern auch der Release- und Governance-Mechanismus drumherum. Der Weg führte über eine Bug-Bounty-Meldung am 22. September durch Cayden Liao, gefolgt von einer Reproduktion auf einem privaten Testserver. RippleX, der Entwicklerarm des Ökosystems, bewertete den Fehler anschließend als kritisch und veröffentlichte am 25. September eine Notfallkorrektur der xrpld-Software. In diesem Release steckte neben der Overflow-Härtung zusätzlich ein zweites, als weniger schwer beschriebenes Problem, das die spätere Batch-Funktion betrifft. Zugleich bleibt die konkrete Quellcode-Veröffentlichung zunächst ausgesetzt: Die Release Notes begründen das mit der Sicherheitsrelevanz der Änderung, später wird erwähnt, dass der Code dann auf GitHub auftauchte.
Noch spannender wird die Einordnung durch die Frage, wie die Änderung im Netzwerk wirksam wurde. Normalerweise brauchen Regeländerungen im XRP Ledger eine Validator-Abstimmung; die Dokumentation nennt dafür einen Schwellenwert von mehr als 80% Unterstützung über zwei Wochen. Der Bericht beschreibt für diesen Fall aber eine Ausnahme: Die Änderung zur Transaktionsverarbeitung sollte ohne Vote ausgeliefert worden sein und traf dadurch auf jeder Serverinstanz unmittelbar beim Upgrade ein. Dieser Schritt ist aus Angreiferperspektive logisch: Würde man warten, wäre der Bug länger als „sichtbar“ ausnutzbar geblieben. Aus Netzwerkperspektive trägt das aber ein Risiko der Uneinheitlichkeit, denn während sich Validatoren aktualisieren, können unterschiedliche Regeln gleichzeitig aktiv sein. Der Bericht argumentiert deshalb, dass ein kurzzeitiger Netzwerkstillstand im Zweifel vorzuziehen wäre gegenüber einem inkorrekten Ledger-Zustand, der sich später nur schwer zurückrollen lässt.
Genau hier zeigt sich auch, warum das Thema gleichzeitig technische Sicherheit und Zentralisierungsdebatten berührt. Der Bericht skizziert, dass XRPL-Server standardmäßig zwei Validatorlisten vertrauen, eine durch die XRPL Foundation publizierte und eine durch Ripple veröffentlichte, die aktuell denselben Kern von 35 Validatoren umfassen. Laut Veröffentlichung liefen am Release-Tag über 80% dieser 35 Validatoren die geschlossene Binary bereits. Dazu passt die öffentliche Aussage eines Validator-Operators, der beschreibt, er habe die Binärdatei heruntergeladen, differenziert und je nach Schweregrad aktualisiert oder notfalls abgelehnt. Für Organisationen, die XRPL einsetzen, ist das ein praktisches Signal: Sicherheitsfixes können extrem schnell wirken, aber die Frage, wie stark sich „Schnelligkeit“ auf wenige Operatorenballungen stützt, bleibt eine relevante Governance- und Risikocharakterisierung.
Dass solche Bug-Serien nicht isoliert auftreten, unterstreicht die breitere Historie: Der Bericht verweist auf vergangene Geldschöpfungs-Fehler wie im Bitcoin-Umfeld (u. a. ein Overflow aus dem Jahr 2010 mit sofortigem Fix und Fork) und auf spätere Inflationsthemen bei anderen Ketten. Auch Zcash wird genannt: Hier führte ein Problem in einem kryptografisch abgeschirmten Umfeld zu einem Notfall-Soft-Fork und anschließend zu einem Hard-Fork. In den letzten Monaten rückt zudem ein zweiter Sicherheitshebel nach vorn, weil KI-gestützte Angriffssuche die Zeit bis zur Entdeckung verkürzen kann – gleichzeitig erhöhen autonome Werkzeuge den Druck, dass Verteidiger schneller patchen als Angreifer neue Exploitpfade finden. Der Bericht erwähnt in diesem Kontext eine KI-gestützte Recherche zu einem Zcash-Fehler sowie Einschätzungen, die das klassische Asymmetrie-Problem betonen: Defenderschaft muss jede Lücke schließen, Angreifer braucht nur einen funktionierenden Pfad, um Schaden zu erzeugen.
Für Unternehmen, die Kryptowährungen oder Krypto-Settlement als kritische Komponente betrachten, ergibt sich daraus eine klare Lehre: Schnelle Releases sind nur dann ein Sicherheitsgewinn, wenn Operatoren tatsächlich zügig aktualisieren, Monitoring und Rollout-Prozesse das Risiko von inkonsistenten Zuständen begrenzen und die Auswirkungen auf Transaktionsverarbeitung nachvollziehbar dokumentiert werden. Zwar behauptet der Bericht, es gebe keine Hinweise auf Ausnutzung des Inflation-Bugs in öffentlichen Netzwerken, und die Korrektur wird als shipped in xrpld 3.4.1 beschrieben. Trotzdem zeigt der Fall, wie stark „Zahlenlogik“ in Payment-Engines über Erfolg oder Missbrauch entscheidet und warum Härtungen in der Fehlerbehandlung, etwa bei Integer-Arithmetik und Overflow-Schutz, nicht als Detailthema gelten dürfen. Der Blick auf den regulatorischen Kontext bleibt dabei ambivalent: Das spätere Ende eines laufenden Verfahrens mit einer verbleibenden Strafe von 125 Millionen US-Dollar ändert nichts an der technischen Tatsache, dass robuste Sicherheitsarchitektur weiterhin der unmittelbare Schutz ist – und genau daran wird mit dem XRPL-Fix jetzt gearbeitet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL schließt Inflation-Bug: Integer-Overflow hätte XRP „gedruckt“" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL schließt Inflation-Bug: Integer-Overflow hätte XRP „gedruckt“" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL schließt Inflation-Bug: Integer-Overflow hätte XRP „gedruckt“« bei Google Deutschland suchen, bei Bing oder Google News!