LONDON (IT BOLTWISE) – Der XRP Ledger hat eine kritische Sicherheitslücke geschlossen, die auf einen Integer-Overflow aus dem Jahr 2015 zurückgeht. In einem Worst Case hätte eine speziell konstruierte Transaktion rechnerisch XRP in Größenordnungen jenseits der vorgesehenen 100 Milliarden „spendbar“ machen können. Entwickler bestätigten, dass es dafür auf öffentlichen Netzwerken keine Hinweise auf Ausnutzung gab. Parallel dazu wurde eine zweite Batch-bezogene Schwachstelle mit einer neuen Amendment-Logik für den 9. Oktober adressiert.
Beim XRP Ledger dreht sich die Sicherheitsmeldung diesmal um einen typischen, in der Praxis aber besonders gefährlichen Programmierfehler: einen Integer-Overflow im Zahlungs-„Payment Engine“-Pfad. Laut der veröffentlichten Analyse betraf die Schwachstelle bereits Code aus dem Jahr 2015, der bei der Abwicklung von Zahlungen mehrere Angebote aus dem Order Book zusammenrechnet. Der Kernmechanismus ist dabei nachvollziehbar: Wenn eine Berechnung eine Zahl erzeugt, die mit dem vorgesehenen Datenformat nicht mehr darstellbar ist, kann das Ergebnis „umwrapen“ und auf einen deutlich kleineren Wert zurückfallen. Entscheidend ist die Konsequenz für den Abgleich zwischen dem, was der Käufer tatsächlich bezahlt, und dem, was das System den einzelnen Verkäufern gutschreibt.
Technisch beschreibt die Offenlegung, dass der Payment-Engine-Teil dabei mit einem 64-Bit-Integer den Gesamtbetrag berechnet, der bei Transaktionen mit mehreren Offers anfällt. Entwickler fanden ein Szenario, in dem ein Angreifer Hunderte von speziell bepreisten Offers erzeugen und so eine einzige Transaktion so konstruieren könnte, dass genau dieser Überlauf das Endergebnis verfälscht. Obwohl die „einzelnen“ Verkäufer laut der Angebotsdaten weiterhin ihre vollen XRP-Beträge erhalten hätten, wäre der Käufer nur den umgelaufenen, kleineren Betrag losgeworden. Die Differenz wäre dann als zusätzlicher, vorher nicht existierender XRP-Bestand in der Logik entstanden und damit potenziell handelbar bzw. transferierbar gewesen.
Aus Security-Sicht ist zudem relevant, warum gängige Schutzmaßnahmen in diesem Fall nicht zuverlässig griffen. Laut Bericht ließ sich die Lücke nicht über normale Trading-Abläufe triggern; der Angreifer hätte dafür mehrere hundert Konten koordinieren, ungewöhnlich bepreiste Offers platzieren und eine sorgfältig konstruierte Transaktion einreichen müssen, die diese Offers gebündelt verarbeitet. Problematisch war außerdem, dass die Supply-Verification, also die Prüfung der zulässigen Versorgung, dieselbe Art der Arithmetik nutzte, die auch den ursprünglichen Fehler verursacht hatte. Selbst ein separater Account-Balance-Check konnte offenbar umgangen werden, weil der neu generierte XRP-Bestand über mehrere Wallets verteilt werden konnte.
Die konkrete Risikobestimmung erfolgte in einem kontrollierten Proof-of-Concept: Veria AI und der Security-Researcher Cayden Liao meldeten den Fund nach Tests mit der Open-Source-Software. Im Demonstrationsnachweis, der nach Angaben der Beteiligten als rechnerisches Ergebnis aus der Testumgebung zu verstehen ist, konnten ungefähr 18 Billionen XRP durch eine einzelne speziell designte Transaktion erzeugt werden. Das entspricht in der Berechnung etwa 184-facher Höhe der vorgesehenen Gesamtversorgung. Der wichtige Unterschied zur Marktpraxis: Dieses Ergebnis beschreibt die Wirkung im Rahmen von Security-Tests, nicht eine real beobachtete Erhöhung der zirkulierenden Angebotsmenge.
RippleX und das XRP Ledger Foundation-Team ordneten den Befund als kritisch ein und reagierten mit einem Notfall-Update: Die Änderungen flossen in xrpld Version 3.4.1, die am 25. September veröffentlicht wurde. In der technischen Beschreibung heißt es, dass neue Checks sicherstellen, dass die Payment Engine Berechnungen oberhalb des erlaubten Integer-Bereichs nicht akzeptiert; betroffene Rechnungen führen stattdessen zu einer normalen Payment-Fehlermeldung, statt zu zusätzlichen XRP. Zusätzlich wurde die Supply Verification mit einer breiteren Zählerlogik umgebaut, die ähnliche Überlauf-Situationen besser erkennt, und weitere Balance-Berechnungen wurden als Vorsichtsmaßnahme nochmals geprüft. Ein Governance-Thema kam dabei aber unweigerlich dazu: Normalerweise durchlaufen Protokolländerungen im XRP Ledger das Amendment-System, das die Zustimmung von mehr als 80% der „trusted validators“ über zwei aufeinanderfolgende Wochen benötigt. Für den Overflow-Case entschieden Entwickler jedoch, den Fix direkt über das Validator-Upgrade einzuspielen, weil das Warten über den üblichen Amendment-Zeitraum die Schwachstelle weiterhin ausnutzbar hätte lassen können.
Genau diese Entscheidung illustriert ein Dilemma, das bei offenen Protokollen immer mitspielt: Wird ein Patch veröffentlicht, kann er zwar die Sicherheit erhöhen, aber die Zwischenphase zwischen verschiedenen Softwareständen birgt das Risiko, dass Validatoren eine bösartige Transaktion unterschiedlich verarbeiten. In einem Extremfall könnte das die Bestätigung neuer Ledger zeitweise erschweren. Laut Angaben war bis zum 25. September mehr als 80% der Validatoren auf der „default Unique Node List“ auf Version 3.4.1 umgestiegen, wodurch die praktische Konsistenz im Netzwerk wiederhergestellt wurde. Parallel dazu bestätigten die Teams, dass sie auf öffentlichen Netzwerken keine Hinweise auf eine Ausnutzung des Overflows gefunden hätten. Für die Meldung selbst erhielt Liao über das Bug-Bounty-Programm den maximalen Betrag von 250.000 US-Dollar; damit wurde auch der Sicherheitsprozess gegenüber dem Protokoll-Ökosystem sichtbar.
Kaum war diese Lücke geschlossen, folgte eine zweite, weniger „liquiditätsgetriebene“ aber ebenfalls protocolrelevante Schwachstelle. Die Oktober-9-Offenlegung betrifft die Batch-Transaktionsfunktion: Entwickler können dabei bis zu acht Transaktionen als Operation bündeln, wobei je nach Ausführungsmodus auch sicherzustellen ist, dass alle Teiltransaktionen erfolgreich sein müssen. In der Sicherheitsprüfung fand man laut Bericht einen Validierungsfehler bei der Verpackung einzelner Transaktionen innerhalb eines Batch. Das Protokoll verlangt ein bestimmtes Feld namens RawTransaction, doch unter bestimmten Bedingungen soll Software alternative Feldnamen akzeptiert haben, was je nach Serverversion unterschiedlich interpretiert werden konnte. Die XRPL Foundation beschreibt dadurch ein potenzielles Konsensrisiko: Wenn Batch aktiv wird, bevor der Fehler korrigiert ist, könnten Validatoren Version-spezifisch divergieren.
Abhilfe schaffte das Amendment BatchV1_2, das eine korrekte Feldformat-Nutzung erzwingt und falsch verpackte Batch-Transaktionen ablehnt. Interessant ist dabei die Übergangssteuerung: Validatoren zogen vorübergehend Unterstützung für die frühere BatchV1_1-Aktivierungsplanung zurück, während die Korrektur abgeschlossen wurde. Laut XRPL Foundation konnten beide Amendments am 9. Oktober auf dem Mainnet aktiviert werden; eine Auswertung über XRPScan wird im Bericht mit 30 unterstützenden Validatoren und fünf Gegenstimmen angegeben. Für Anwender ist außerdem der Status klar: Die Foundation stellte fest, dass die betroffenen Amendments beim Auffinden des Fehlers noch nicht aktiv waren, keine Benutzergelder verloren gingen, keine privaten Schlüssel kompromittiert wurden und es wegen dieser konkreten Schwachstelle zu keinem Konsensausfall kam. Abschließend kündigte die Foundation eine zusätzliche Verifikation für künftige Releases an: Bereits gemeldete Sicherheitsprobleme sollen erneut gegen Release Candidates getestet werden, bevor sie als behoben gelten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRP Ledger behebt Integer-Overflow: 3,4.1 stoppt mögliches „Trillions“-Spendieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRP Ledger behebt Integer-Overflow: 3,4.1 stoppt mögliches „Trillions“-Spendieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRP Ledger behebt Integer-Overflow: 3,4.1 stoppt mögliches „Trillions“-Spendieren« bei Google Deutschland suchen, bei Bing oder Google News!