LONDON / LONDON (IT BOLTWISE) – Das XRP Ledger hat eine kritische Integer-Overflow-Lücke in seiner Zahlungs-Engine geschlossen, die theoretisch neues XRP hätte erzeugen können. Ursache war eine fehlerhafte Summation von Offer-Totals im dezentralen Exchange-Teil, bei der 64-Bit-Werte überlaufen und scheinbar plausibel „normal“ weitergerechnet wurden. Der Fehler wurde im Rahmen des XRPL-Bug-Bounty-Programms identifiziert und bereits mit der Notfallversion xrpld 3.4.1 behoben. Laut der Schwachstellenmeldung gibt es bislang keine Hinweise auf eine Ausnutzung in öffentlichen Netzwerken.
Beim XRP Ledger ist eine seltene, aber folgenschwere Schwachstelle aus dem Zahlungsbereich entfernt worden: Eine Integer-Overflow-Fehlerklasse, die über Jahre hinweg im Code hätte schlummern können. In der offiziellen Vulnerability-Disclosure heißt es, dass das Problem im Zahlungs-Engine-Teil des Protokolls rund ein Jahrzehnt lang existierte und den dezentralen Exchange betrifft, genauer: die Art, wie beim Durchrechnen vieler Offers die Summenwerte berechnet werden. Entscheidend ist dabei weniger „dass“ Zahlen verarbeitet werden, sondern wie diese Summen mit einem festen Integer-Breiteformat (64-Bit) gebildet werden.
Technisch lief die Lücke auf einen klassischen Wrap-Around-Fehler hinaus. Wenn die Summe vieler einzelner Offer-Beträge den Maximalwert eines 64-Bit-Integer übersteigt, soll die Rechnung eigentlich in eine Fehlerbehandlung laufen. Stattdessen „wickelt“ der Wert im beschriebenen Szenario auf eine kleine Zahl zurück. Gleichzeitig blieb jedoch die Buchhaltung pro Offer offenbar unbeeindruckt: Die Engine schrieb weiterhin jedem Offer-Owner den vollen Betrag gut, während der Käufer nur die „zusammengewickelte“ Summe belastet wurde. Genau diese Differenz konnte sich als neu erzeugtes XRP darstellen, obwohl das Netzwerk feste Regeln zur maximalen Tokenmenge hat.
Damit wird verständlich, warum die Sicherheitstests in der Vergangenheit nicht zwingend angeschlagen sind. Die Vulnerability-Disclosure beschreibt, dass der Sicherheitsinvariante-Check, der normalerweise sicherstellt, dass kein Transaction neue XRP erschafft, dieselbe 64-Bit-Arithmetik verwendete. Das bedeutet: Auch die Invariantenprüfung „sah“ im Ergebnis aufgrund identischer Wrap-Around-Logik keine Auffälligkeit, weil die Nettoveränderung wie erwartet wirkte. Zusätzlich gab es eine separate pro-Account-Balance-Grenze, die ungewöhnlich hohe Guthaben abweist; auch diese sei im geschilderten Angriffsszenario umgangen worden, weil die neu entstehenden Tokens auf viele Konten verteilt wurden.
Die potenzielle Ausnutzung war dabei nicht auf ein exotisches, völlig zufälliges Verhalten angewiesen. Laut Bericht genügt ein Setup mit nur wenigen hundert Accounts und entsprechenden Offers: Jeder Account platziert demnach ein Angebot, das für eine winzige Menge eines anderen Tokens gegen eine extrem große Menge XRP eintauscht. Ein einzelner, sorgfältig konstruierter Zahlungsvorgang könnte dann die Angebote gleichzeitig „durchkaufen“, sodass die fehlerhafte Summation in einem Rutsch greift. Der Angriff sollte sich zudem nicht aus dem Tagesgeschäft ergeben, weil normale Handelsaktivität die Offer-Totals typischerweise nicht in eine Größenordnung treibt, in der ein 64-Bit-Overflow überhaupt realistisch wird.
In der Meldung wird die Schwere als kritisch eingeordnet, und der Zeitablauf wirkt aus Sicht der Betreiber konsistent: Das Problem wurde am 9. Oktober 2026 offengelegt, parallel aber bereits im Zuge des XRPL-Bug-Bounty-Programms gefunden und mit einem Notfall-Release behoben. Die Korrektur landete in xrpld 3.4.1, dessen Veröffentlichung auf den 25. September 2026 datiert wird. Inhaltlich fügt die aktualisierte Software Overflow-Checks bei der Summation über Offers hinzu: Wenn ein Überlauf beim Aggregieren droht, soll der betroffene Anteil der Zahlung „sauber“ fehlschlagen, statt falsche Werte zu verwenden. Zusätzlich wurde die „no XRP created“-Invariante mit einem breiteren Zähler abgesichert, der nicht in gleicher Weise wrap-around-fähig ist.
Ein weiterer Aspekt ist die Governance-Realität reifer Netzwerke. Weil die Codebasis quelloffen ist, hätte der Bug unter dem normalen Amendment-Prozess für Wochen öffentlich bekannt werden können; daher griff die Änderung laut Disclosure unmittelbar nach dem Upgrade und nicht erst nach der üblichen zweiwöchigen Validator-Voting-Phase. Mehr als 80 Prozent der Default-UNL-Validatoren hätten am Veröffentlichungstag auf die neue Version umgestellt, während die Vulnerability-Disclosure zugleich betont, dass keine Belege für eine Ausnutzung in öffentlichen Netzwerken gefunden wurden. Zusätzlich adressierte dieselbe Softwareversion noch ein getrenntes Validierungsproblem im Kontext der Batch-Transaktionsfunktion, das über ein Amendment am 9. Oktober aktiviert wurde.
Für Teams, die XRPL oder ähnliche Ledger-Systeme entwickeln, implementieren oder betreiben, ist der Fall mehr als eine einzelne Patch-Meldung. Er zeigt zum einen, wie Edge-Case-Bugs selbst in ausgereiften Codebases lange überdauern können, wenn seltene Zahlenpfade nur bei bestimmten Offer- und Zahlungsstrukturen auftreten. Zum anderen unterstreicht er den Wert strukturierter Bug-Bounty-Programme, unabhängiger Audits und eines koordinierten Response-Mechanismus zwischen Entwicklern und Validatoren: Genau diese Kette machte aus einer potenziell supply-fähigen Rechenlücke innerhalb kurzer Zeit wieder eine „harmlos“ fehlende Verarbeitung. Mit dem Patch und der breiten Validator-Akzeptanz bleibt die Supply-Integrität nach Darstellung in der Disclosure gewahrt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Fix schließt Integer-Overflow im Zahlungs-Engine-Teil" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Fix schließt Integer-Overflow im Zahlungs-Engine-Teil" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Fix schließt Integer-Overflow im Zahlungs-Engine-Teil« bei Google Deutschland suchen, bei Bing oder Google News!