LONDON (IT BOLTWISE) – Ein Integer-Overflow-Bug im XRP Ledger blieb laut XRP Ledger Foundation über mehr als ein Jahrzehnt unentdeckt, obwohl er die 100-Milliarden-XRP-Grenze theoretisch hätte knacken können. Die Schwachstelle hätte Transaktionswerte so wrapen lassen können, dass Standardprüfungen umgangen und Milliarden XRP „aus dem Nichts“ erzeugt worden wären. Forscher meldeten das Problem am 22. September, RippleX brachte anschließend einen Fix. Wie genau der Angriff hätte skaliert werden müssen, zeigt vor allem eine Lücke in den Ledger-Sicherungen.
Im XRP Ledger (XRPL) schlummerte offenbar ein Fehler, der im schlimmsten Fall die von vielen XRP-Nutzern und -Inhabern als Kernmechanismus betrachtete Eigenschaft hätte beschädigen können: die feste Obergrenze von 100 Milliarden XRP. In einer Erklärung der XRP Ledger Foundation heißt es, dass die Schwachstelle als Integer-Overflow bereits seit mindestens 2015 existiert haben soll und sich deshalb über mehr als elf Jahre der Entdeckung entzog. Der Grund ist technisch nachvollziehbar: Der Bug wurde erst durch eine sehr gezielte Kombination aus sehr vielen Operationen und speziell konstruierten Transaktionsparametern „nah genug“ an der kritischen Schwelle ausgelöst.
Die kryptografische Rolle der Supply-Logik ist im XRPL besonders zentral, weil neue Token nicht regulär mintbar sind. XRP fungiert als nativer Token des Netzwerks, um Transaktionskosten zu bezahlen und um Wertübertragungen in der dezentralen DEX-Logik des Ledger abzubilden. Genau an dieser Stelle wird die Tragweite der Integer-Overflow-Idee greifbar: Wenn ein interner Zähler oder ein Zahlenfeld eine maximale Darstellungsgrenze erreicht, kann der Wert bei einem Overflow auf einen sehr kleinen Wert zurückspringen. Die Foundation beschreibt den Mechanismus bildhaft wie einen Arcade-Score, der bei Überlauf wieder bei null startet. Im XRPL-Kontext kann das bei überschrittenen Transaktionsgrößen dazu führen, dass Kostenberechnungen „wrapen“ und Standard-Fund-Checks den tatsächlichen Wertstrom nicht mehr korrekt abbilden.
Konkret stellt die Foundation einen theoretischen Ablauf dar, der auf das Umgehen von Prüfungen abzielt: Durch manipulierte Kostenwerte könnten Verkäufer ihre vollständigen XRP-Beträge erhalten, während Käufer beim Bezahlen nur „nahezu nichts“ überweisen müssten. Möglich wird das demnach, weil die Ledger-seitige Prüfung den Overflow-bedingten Zahlenfehler nicht als Anomalie erkennt. Der beschriebene Weg wäre, zunächst Dummy-Accounts für fake token sales mit extrem hohen Beträgen aufzubauen, dann die eigene Adresse als Käufer zu verwenden und anschließend über eine einzige Abfolge die Wirkung zu „bündeln“. Die Folge wäre eine künstliche Differenz zwischen dem, was Verkäufer gutgeschrieben bekommen, und dem, was Käufer tatsächlich bezahlt haben – was im Ergebnis wie eine ungewollte Ausweitung des zirkulierenden Bestands wirken könnte.
Dass dieser Angriff nie beobachtet wurde, hängt laut RippleX und der Foundation nicht an „Glück“, sondern an der Art der benötigten Auslösung. Normaler Nutzerverkehr nähert sich den beschriebenen Overflow-Kanten nicht an, weil dafür Hunderte von bewusst konstruierten Operationen nötig sind. Zusätzlich fehlte nach Angaben aus dem Umfeld der Sicherheitsprüfung ein klarer Alarm im Ledger selbst: Der Check, der nach jeder Transaktion bestätigen soll, dass keine neuen XRP entstanden sind, habe auf demselben miscounted Total basiert. Das bedeutet: Selbst wenn nach außen die Supply-Obergrenze gefährdet wirken könnte, sah die Validierung intern keinen Grund zur Warnung, weil sie die fehlerhafte Zählgrundlage reproduzierte. Ein weiterer Filter griff demnach ebenfalls nicht, da die potenzielle Attacke auf viele Accounts verteilt werden müsste.
Interessant ist in diesem Zusammenhang auch, wie eng technische Validierung und formale Korrektheit zusammenhängen. Der entscheidende Punkt ist nicht, dass „ein Zähler falsch ist“, sondern dass ein Sicherheitsmechanismus, der eigentlich die Nicht-Mintbarkeit nachweist, sich auf eine Logik stützt, die im Overflow-Fall selbst inkonsistent wird. Solche Fehlerklasse sind aus der Softwaretechnik bekannt, weil Integer-Überläufe in vielen Programmiersprachen je nach Implementierung unterschiedlich behandelt werden. In verteilten Systemen mit deterministischer Ausführung wird daraus dann ein Risiko, das nur deshalb unentdeckt bleibt, weil die Tests und die üblichen Eingabeprofile nie die kombinatorische Randbedingung treffen. Das passt zum zeitlichen Muster: Der Bug wurde am 22. September von Cayden Liao und Veria AI gemeldet und anschließend nach interner Prüfung von RippleX gepatcht.
Auch wenn es nach den Angaben keinen Beleg für eine Ausnutzung gab, ist die Sicherheitsarchitektur damit nicht „abgehakt“. Die Foundation kündigt an, in Zukunft aggressiver gegen ähnliche Schwachstellen vorzugehen: Man will AI-adversarial testing stärker einsetzen, formale Verifikation ergänzen und das Bug-Bounty-Programm ausbauen. Für Unternehmen, die XRPL oder ähnliche Blockchain-Komponenten in Anwendungen integrieren, ist das vor allem ein Signal dafür, dass Sicherheitsprozesse zunehmend automatisiert werden müssen: KI kann helfen, enorme Suchräume von Zustandskombinationen schneller zu durchmustern, während formale Methoden die Lücke schließen, die entsteht, wenn ein Nachweis im Test-Setup zwar existiert, im Randfall aber von derselben fehlerhaften Annahme lebt. Gerade bei deterministischen Ledgern ist die Versuchung groß, sich auf „praktische“ Plausibilitätstests zu verlassen; die Meldung zeigt, wie teuer das werden kann.
Ein letzter Aspekt betrifft die Marktwirkung solcher Ereignisse. Selbst ohne nachgewiesenen Schaden bleibt eine gefundene Schwachstelle für die Community ein Stresstest der Vertrauensmechanismen: Wie schnell wird gepatcht, wie transparent wird kommuniziert, und wie konsequent werden die Validierungsroutinen so angepasst, dass sie nicht dieselbe Fehlannahme reproduzieren? Laut Foundation und RippleX blieb es beim Fix; es wurden keine neuen XRP geschaffen, heute sollen rund 99,986 Milliarden XRP im Umlauf sein. Für Entwickler und Sicherheitsverantwortliche ist die zentrale Lehre damit weniger „Angreifer wären besonders clever gewesen“, sondern dass Ledger-Logik auch in schwer erreichbaren Bereichen robust gegen mathematische Randfälle sein muss – und dass KI-gestütztes Testen künftig ein Bestandteil dieser Robustheit werden dürfte.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Integer-Overflow: Bug hätte die 100-Milliarden-XRP-Grenze unterlaufen können" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Integer-Overflow: Bug hätte die 100-Milliarden-XRP-Grenze unterlaufen können" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Integer-Overflow: Bug hätte die 100-Milliarden-XRP-Grenze unterlaufen können« bei Google Deutschland suchen, bei Bing oder Google News!