LONDON (IT BOLTWISE) – Das XRP Ledger hat einen kritischen Fehler im Zahlungs-System behoben, der rechnerisch 18 Billionen nicht autorisierte XRP erzeugen konnte. Der Integer-Overflow betraf Berechnungen mit einer 64-Bit-Zahl, wenn Händler im DEX-Kontext sehr viele Offers gleichzeitig einbringen. Laut XRPL Foundation wurden nach einem Notfall-Update innerhalb weniger Tage mehr als 80% der vertrauenswürdigen Validatoren erreicht, wodurch das Risiko uneinheitlicher Transaktionen sinkt. Parallel wurde mit xrpld Version 3.4.1 auch eine Batch-bezogene Konsistenzlücke geschlossen.
Beim XRP Ledger wurde ein Sicherheitsproblem adressiert, das auf den ersten Blick nach „nur“ einem Rechenfehler klingt, in der Praxis aber eine ganze Ecke des Marktes treffen kann: das Zahlungs- und Settlement-Verhalten im Zusammenspiel mit dezentralen Börsen. Im Zentrum steht ein Integer-Overflow in einer Zahlungsberechnung, bei der eine 64-Bit-Integer-Darstellung zu einem kleineren Ergebnis führt, als es die intendierte Logik eigentlich vorsehen würde. Genau solche Abweichungen sind für Krypto-Netzwerke riskant, weil schon kleine Rechendifferenzen im State-Übergang reichen können, um Folge-Transaktionen anders zu validieren oder ökonomische Erwartungen zu sabotieren.
Für die Größenordnung der Befürchtung nennt die Einordnung einen Worst-Case: Ein Angreifer hätte rechnerisch über eine einzelne konstruierte Transaktion eine unautorisierte XRP-Menge von etwa 18 Billionen generieren können. Das wäre rund 180-mal mehr als die geplante Gesamtmenge von 100 Milliarden XRP gewesen. Entscheidend ist dabei die Methodik: Die Schwachstelle konnte durch das Einreichen vieler „bogus orders“ in unterschiedlichen Preisniveaus begünstigt werden, sodass der Verkäufer potenziell mehr XRP aus der Transaktion erhält, während der Käufer entsprechend weniger bezahlt. Der wirtschaftliche Effekt läge dann in der Differenz – also in neu entstehenden Geldern, die nicht gedeckt wären. Gleichzeitig betont die Veröffentlichung, dass es keine Hinweise auf eine Ausnutzung auf öffentlichen XRP-Distributionen gab.
Technisch setzt der Fix bei zwei Punkten an: erstens an der fehlerhaften Arithmetik, zweitens an der Konsistenz zwischen Servern und Validatoren. Laut den beteiligten Teams und Forschern existierte der Fehler nachweisbar seit mindestens 2015, die Entdeckung passierte jedoch erst später. Die Vulnerability wurde im September durch automatisiertes Testing identifiziert; eine lokale Proof-of-Concept-Umgebung zeigte, dass eine gezielte XRP-Transaktion die oben beschriebene Größenordnung erreichen kann. Dabei kam auch die Warnung, dass die problematischen Rechenpfade über normale Marktaktivität allein typischerweise nicht „automatisch“ ausgenutzt werden: Für die praktischen Voraussetzungen werden mehrere Wallets sowie sehr spezifische Angebots- und Bestellkonstellationen benötigt.
Nach der Meldung am 22. September bestätigten RippleX und weitere Beteiligte die Reproduzierbarkeit, einschließlich der Frage, ob Tokens aus einer solchen Konstruktion grundsätzlich transferiert werden können. Parallel wurde die Entdeckung in einem Bug-Bounty-Umfeld prämiert; genannt wird ein Preis von 250.000 US-Dollar für die Forschung, außerdem eine Einschätzung zum „Markt-Risiko“ in Höhe von 94 Milliarden US-Dollar. Für die Einordnung ist wichtig: Eine hohe „at risk“-Zahl bedeutet nicht automatisch, dass tatsächlich Verluste entstanden sind. In diesem Fall heißt es explizit, dass solche Transaktionen auf dem öffentlichen XRP-Netz nicht stattgefunden haben.
Auf der operativen Ebene liegt der Schwerpunkt auf dem Notfall-Update. Engineers stellten bereits am 25. September xrpld Version 3.4.1 bereit, um die Overflow-Probleme zu beheben und zugleich die Währungsbestände besser nachzuvollziehen. Ein wesentlicher Unterschied zu vielen regulären Protokollpfaden ist zudem, dass betroffene Payment-Server die Zahlungen nun ablehnen, statt ungültige Arithmetik weiter zu verarbeiten. Ein weiterer relevanter Aspekt: Der Update-Rollout wurde offenbar schneller als in vielen Standardverfahren gehandhabt, was Befürworter damit begründen, dass formale Freigabezyklen zu lange dauern und Systeme in der Zwischenzeit anfällig bleiben können. Gleichzeitig deutet der Text auf ein praktisches Risiko hin, das bei unterschiedlichen Versionsständen entsteht: Wenn verschiedene Parteien unterschiedliche Softwarevarianten einsetzen, kann eine Einigung darüber, welcher Patch als „richtig“ gilt, schwerer werden.
Zusätzlich adressiert die gleiche Release auch eine Validierungsfrage im Zusammenhang mit Batch-Transaktionen. Batch erlaubt Nutzern, bis zu acht Transaktionen in einer gemeinsamen Einreichung zu bündeln; die Veröffentlichung beschreibt, dass unterschiedliche Handhabungen interner Batch-Daten im RawTransaction-Format zu inkonsistentem Transaktionsverhalten über Server hinweg führen konnten. Hier reagierten Entwickler mit einem fix für BatchV1_2 und schoben die Batch-Veröffentlichung nach hinten, um neue Sicherheitsfunktionen einzuarbeiten. Die finalen Änderungen seien am 9. Oktober implementiert worden. Laut den Forschern war die konkrete Batch-Vulnerabilität zum Zeitpunkt der Entdeckung auf dem Mainnet nicht aktiv, außerdem gab es keine Hinweise auf Konsensfehler oder verwandte Verluste.
Aus Sicht der Betreiber und Teams, die das Netzwerk in Produktion anbinden, verschiebt sich damit vor allem ein Thema: Versionshygiene. Server, die ältere Softwareversionen laufen lassen, gelten laut den Angaben nicht mehr als berechtigt, Verbesserungen einzureichen, und müssen auf xrpld 3.4.1 oder neuer aktualisieren. Die XRPL Foundation kündigt außerdem an, zuvor ausgegebene Sicherheitsempfehlungen für Release-Candidate-Versionen zu überprüfen und offene Punkte nachzuschärfen. Inhaltlich passt das in einen breiteren Trend der letzten Jahre: Sicherheitsprüfungen rücken näher an den Lieferprozess heran, automatisiertes Testing ergänzt manuelle Audits, und auch KI-gestützte Ansätze werden zunehmend als zusätzliche Testlinie verstanden – nicht als Ersatz für Formalprüfung, aber als Beschleuniger für das Auffinden ungewöhnlicher Zustandskombinationen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Notfallfix verhindert Bug, der 18 Billionen XRP hätte erzeugen können" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Notfallfix verhindert Bug, der 18 Billionen XRP hätte erzeugen können" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Notfallfix verhindert Bug, der 18 Billionen XRP hätte erzeugen können« bei Google Deutschland suchen, bei Bing oder Google News!