LONDON (IT BOLTWISE) – Im XRP Ledger haben Maintainer einen Integer-Overflow im Payment-Engine-Teil behoben, der seit 2015 unentdeckt blieb. Bei bestimmten Transaktionen konnte die Berechnung „wrap-around“ produzieren und dabei rechnerisch XRP erzeugen, ohne echte Ausgabe zu spiegeln. Die Meldung kam über das Bug-Bounty-Programm im September; ein Missbrauch gilt als nicht nachgewiesen. Das Update wurde als Version 3.4.1 am 25. September ausgeliefert und bereits von über 80% der Validatoren genutzt.
Dass der XRP Ledger-Client einen kritischen Fehler im Zahlungsprozess so lange tragen konnte, liegt weniger an fehlender Aufmerksamkeit als an der Form der Auslösebedingungen. Laut der aktuellen Offenlegung saß ein Integer-Overflow im „payment engine“ seit 2015 im Code, wurde aber nicht bemerkt, weil „normale“ Zahlungen keine Konstellation erzeugen, die den Overflow in dieser Größenordnung triggert. Erst das gezielte Zusammenspiel aus Order-Book-Angeboten – in der Beschreibung etwa: Hunderte speziell präparierte Offers in einer einzigen Zahlung – machte die Schwachstelle praktisch.
Technisch beschreibt die Meldung einen klassischen Fehler bei der Arithmetik: Wenn der Betrag, den der Käufer nach der Aggregation der Offers zahlen sollte, den maximal darstellbaren Wertebereich übersteigt, passiert ein Überlauf („wrap around“) und die Summe fällt rechnerisch auf einen winzigen Rest zurück. Wichtig ist dabei die doppelte Wirkung innerhalb derselben Transaktion: Der Engine-Teil, der die Verkäufer auszahlt, soll weiterhin „korrekt“ genug wirken, um die Verkäufer vollständig zu bedienen. Gleichzeitig berechnet die Engine für den Käufer nahezu nichts – die Differenz entspricht dann einer Menge XRP, die faktisch neu „gemintet“ wäre, obwohl der Protokollmechanismus so etwas nicht zulassen dürfte.
Die zweite Eskalationsstufe entsteht dadurch, dass auch die eingebaute Sicherheitsprüfung den gleichen fehlerhaften Rechenweg nutzte. Der XRP Ledger enthält demnach eine Logik, die eigentlich bestätigen soll, dass keine Transaktion XRP erzeugt. Doch wenn genau diese Prüfung über dieselbe fehlerhafte Arithmetik läuft, wiederholt sich das Wrap-around-Problem: Die Rechnung „sieht“ dieselbe falsche, kleine Zahl und kann deshalb keinen Alarm auslösen. In der Offenlegung heißt es deshalb, ein Angreifer hätte spendbare XRP deutlich über die gesamte Token-Supply hinaus in einer einzigen Transaktion erzeugen und anschließend weiterverwenden können – etwa durch Handel oder durch das Senden an Börsen.
Gleichzeitig betonen die verantwortlichen Entwickler, dass es keine Hinweise auf eine tatsächliche Ausnutzung gibt. Die Bestätigung bezieht sich auf den konkreten Zeitraum der Implementierung: Die Payment-Engine-Variante, in der der Bug verankert war, habe seit 2015 in ihrer damaligen Form existiert. Die Begründung für die lange Nicht-Entdeckung passt ins Muster vieler Sicherheitsfälle in Ledger-Systemen: Wenn die exakte Kombination an Eingaben selten oder praktisch nie auftritt, bleibt ein deterministischer Rechenfehler im Alltag verborgen, bis gezielte Tests oder eine strukturierte Attacke ihn „hochskaliert“.
Für den Betrieb ist entscheidend, wie schnell das Community-Ökosystem reagierte. Die Korrektur wurde mit Version 3.4.1 am 25. September ausgeliefert, und am selben Tag waren laut Angaben mehr als 80% der „trusted validators“ bereits auf das Update umgestellt. Besonders auffällig ist zudem der Veröffentlichungsweg: Der Fix sei bewusst ohne den üblichen Amendment-Prozess geliefert worden. Normalerweise müssen Validatoren für Änderungen abstimmen und anschließend zwei Wochen warten, bis der neue Zustand greift. Dass die Maintainer den Prozess beim ersten Mal bewusst umgehen konnten, zeigt, wie hoch die angenommene Schadensklasse war: Ein solcher Open-Source-Fix würde den Bug sichtbar machen, aber gleichzeitig die Zeitfenster für eine Ausnutzung verkürzen.
Der Fall ordnet sich in eine breitere Entwicklung ein, in der Krypto-Ökosysteme Schwachstellen nicht nur in neuen Funktionen, sondern auch in „alten“ Kernpfaden finden. Die Meldung stellt explizit eine Parallele zu Zcash her: Dort habe in diesem Jahr ebenfalls ein Soundness-Thema in einem geschützten Pool zu einem Patchdruck geführt, weil für die Privatsphäre-Funktionen die Konsistenz mit der tatsächlichen Coin-Erzeugung hätte gefährdet sein können. In beiden Fällen geht es damit weniger um reine Performance oder UX, sondern um die Korrektheit der Zustandsübergänge – also darum, ob das System aus seinen eigenen Regeln heraus deterministisch und konsistent bleibt.
Für die Markt- und Produktseite zeigt sich zudem, wie schnell Vertrauen und Kursdynamik kippen können, selbst wenn keine Ausnutzung belegt ist. In der Meldung wird für XRP ein Kurs von 1,38 US-Dollar genannt, mit einem Tagesminus von 1,6% und einem Rückgang von 9,4% über sieben Tage. Solche Bewegungen sind selten ausschließlich technisch erklärbar; dennoch machen sie deutlich, dass Sicherheitskommunikation im Krypto-Bereich unmittelbar auf Erwartungen wirkt. Für Teams, die Ledger-Infrastruktur betreiben oder darauf aufbauen, verschiebt sich dadurch der Fokus: Nicht nur das Update selbst zählt, sondern auch die Frage, wie gut sich die Verteil- und Abstimmungsmechanismen im Notfall beschleunigen lassen, ohne die Stabilität des Netzwerks zu gefährden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRP Ledger patcht seit 2015 verborgenen Overflow-Bug im Payment Engine" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRP Ledger patcht seit 2015 verborgenen Overflow-Bug im Payment Engine" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRP Ledger patcht seit 2015 verborgenen Overflow-Bug im Payment Engine« bei Google Deutschland suchen, bei Bing oder Google News!