LONDON (IT BOLTWISE) – Ein zehn Jahre alter Fehler im Zahlungs-Stack des XRP Ledger hätte theoretisch neues XRP im Umfang des festen Gesamtangebots ermöglichen können. Der Auslöser: eine Transaktionslogik, die durch eine Überlast der internen Zählung zurückgesetzt wurde, während Sicherheitsprüfungen denselben Zähler verwendeten. Laut RippleX fand sich jedoch kein Hinweis auf eine reale Ausnutzung. Der Fix wurde als Server-Software 3.4.1 ausgeliefert und griff sofort, sobald Betreiber ihn aktualisierten.
Der XRP Ledger ist für eine feste Geldmenge bekannt: Das Angebot ist auf 100 Milliarden XRP gedeckelt. Genau diese Eigenschaft macht den jüngsten Security-Fund umso brisanter. Denn nach einem veröffentlichten Bericht gab es in der Zahlungskomponente des Netzwerks einen Fehler, der es einem Angreifer ermöglicht hätte, XRP buchstäblich „aus dem Nichts“ zu erzeugen – also spendierfähige XRP-Bestände zu schaffen, obwohl die Systemlogik eigentlich einen festen Rahmen vorsieht. Dass diese Schwachstelle offenbar über Jahre unentdeckt blieb, unterstreicht, wie schwierig es ist, seltene Kombinationen aus Transaktionsvolumen und internen Zuständen im laufenden Betrieb zu erkennen.
Technisch setzt die mögliche Attacke am integrierten Marktplatz des XRP Ledger an: Dort können Konten Angebote hinterlegen, in denen sie eine bestimmte Menge eines Tokens gegen eine andere Menge tauschen. Der Bericht beschreibt einen Angriffspfad, bei dem der Täter mehrere Hundert Konten öffnen und jeweils sehr kleine Mengen eines Ziel-Assets gegen große XRP-Beträge anbieten würde. Entscheidend ist der Effekt einer einzigen Zahlung: Wenn das System anschließend mehrere Angebote „auf einmal“ erfüllt, wächst dabei ein interner laufender Zähler so weit an, dass er das Limit für den Zählmechanismus überschreitet und anschließend auf einen sehr kleinen Wert zurückspringt. Diese Art von Overflow- und Reset-Fehlern ist aus anderer Softwarepraxis bekannt, zeigt sich hier aber in einer Zahlungslogik, die unmittelbar mit Vermögensbewegungen verknüpft ist.
Damit wäre das Schutzkonzept gleich doppelt unter Druck geraten. Der Bericht legt nahe, dass nicht nur die Erstellung zusätzlicher XRP-Bestände potenziell möglich gewesen wäre, sondern auch die Erkennungslinie versagt hätte: Eine Sicherheitsprüfung zur Feststellung „neuen XRP“ nutzt offenbar denselben Zählmechanismus wie die problematische Transaktionsermittlung. Wenn der Zähler nach dem Überlauf auf einen niedrigen Wert zurückgesetzt wird, interpretiert die Prüfroutine das Ergebnis möglicherweise als unauffällig – ähnlich wie ein Kilometerzähler, der nach dem Überschreiten der Obergrenze wieder bei einem winzigen Restwert startet. In dem beschriebenen Ablauf würden die verkaufenden Konten ihre Zahlung vollständig erhalten, während der Käufer-Effekt fast keinen Gegenwert auslöst. Genau diese Asymmetrie macht den Angriff ökonomisch attraktiv und technisch schwer zu entdecken.
RippleX, der Entwicklerarm von Ripple, ordnet die Lage inzwischen so ein, dass keine Indizien für eine echte Ausnutzung vorliegen. Der Fehler sei über das XRPL Bug Bounty Program am 22. September gemeldet worden, und die Recherche wird u. a. Cayden Liao sowie Veria AI zugeschrieben. Ob und wie häufig der Pfad in der Praxis vorkam, bleibt naturgemäß offen; der Punkt ist aber, dass die Kombination aus vielen Angeboten und einer einzelnen, auslösenden Zahlung den kritischen Zustand herbeiführen kann. Für Betreiber und Auditoren ist das eine klare Erinnerung: Schutzmechanismen, die auf denselben internen Zuständen aufbauen, können sich gegenseitig aushebeln, statt unabhängig voneinander Risiken zu reduzieren.
Besonders interessant ist zudem die Art der Gegenmaßnahme. Normalerweise erfordert das XRP Ledger für Änderungen an der Transaktionsverarbeitung eine öffentliche Abstimmung, die mehr als 80% der als „trusted validators“ geltenden Validatoren umfasst. Der Fix zu der problematischen Logik wurde jedoch als Server-Software-Version 3.4.1 bereitgestellt und soll mit dem Upgrade jedes einzelnen Betreibers sofort wirksam geworden sein, noch bevor der Code vollständig öffentlich vorlag. RippleX begründete diesen Ablauf damit, dass eine öffentliche Vote-Phase den Bug in offenem Code länger sichtbar gemacht hätte, obwohl er in der Zwischenzeit weiter ausnutzbar geblieben wäre. Laut den Angaben zum Release-Day hatten zudem mehr als 80% der default validators die Aktualisierung bereits am selben Tag eingespielt.
Der Zeitpunkt der Offenlegung fällt in eine Phase intensiver öffentlicher Debatten über die XRP-„Dezentralität“. So kommt eine Referenz auf eine separate Diskussion hinzu, in der der Cyber-Capital-Gründer Justin Bons das „Verkaufen von XRP“ als „fraud“ bezeichnete – ein Wortlaut, der im Kontext der Dezentralitätsdebatte fällt und damit die emotionale und politische Dimension der Technologiewahl berührt. Gleichzeitig ist in der Berichtslogik die technische Realität entscheidend: Das Netzwerk setzt bei zukünftigen Änderungen weiterhin auf Abstimmungen. Für Unternehmen und Entwickler bedeutet das vor allem zweierlei: Erstens bleibt die Governance-Mechanik zwar zentral, aber Security-Updates können unter Umständen anders orchestriert werden, um ein zu langes Zeitfenster der Ausnutzbarkeit zu vermeiden. Zweitens wird für Integratoren und Tools rund um den XRPL die Bedeutung robuster Zustands- und Overflow-Tests deutlich, weil solche Fehler nicht nur Buchhaltung, sondern auch Marktmechaniken direkt kompromittieren können.
Für die Praxis ergibt sich daraus ein klarer Prüfauftrag. Teams, die Börsen, Wallets oder Handelsroutinen am XRPL bauen, sollten besonders auf Transaktionspfade achten, die Marktangebote in Massen zusammenführen, und ihre eigenen Annahmen über Zählergrößen, Rundungsregeln sowie Validierungslogik entlang der kompletten Datenpipeline verifizieren. Ebenso relevant ist die Frage, wie schnell Validator-Updates im Ernstfall tatsächlich flächendeckend durchrutschen. Selbst wenn RippleX betont, dass keine Nutzung des Bugs nachweisbar ist, zeigt der Fall, wie schnell aus einem „eher theoretischen“ Zählerproblem eine existenzielle Bedrohung für die Integrität von Token-Supply-Logiken werden kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Bug hätte fast 100 Milliarden XRP erzeugen können" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Bug hätte fast 100 Milliarden XRP erzeugen können" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Bug hätte fast 100 Milliarden XRP erzeugen können« bei Google Deutschland suchen, bei Bing oder Google News!