LONDON (IT BOLTWISE) – Entwickler des XRP Ledgers verteidigen einen Notfall-Sicherheitsfix, der am 25. September veröffentlicht und sofort wirksam wurde. Der Patch umgeht dabei die sonst übliche zweiwöchige Validator-Abstimmung, weil die Veröffentlichung des Fixes vor der Absicherung wochenlang angreifbar gewesen wäre. Unklar bleibt derweil, wie sich das Vorgehen mit den eigenen Aussagen zur Dezentralisierung des Netzwerks verträgt.
Beim XRP Ledger ist am 25. September ein Notfallpatch in Produktion gegangen, der einen extrem kritischen Fehler im Zahlungs-Engine-Teil der Infrastruktur beseitigen sollte. Die Entwickler begründen die Eile damit, dass der eigentliche „Amendment“-Mechanismus des Netzwerks sonst einen Zeitverzug von rund zwei Wochen erzeugt hätte: In dieser Phase wäre eine Korrektur zwar beschlossen, aber das konkrete Verhalten und damit der potenzielle Angriffspfad für längere Zeit für Angreifer ableitbar gewesen. Aus Sicht der Betreiber war der zentrale Konflikt damit nicht nur technischer Natur, sondern auch zeitlich: Wer den Fix erst nach einer normalen Abstimmung ausrollen kann, schafft gleichzeitig eine längere „Schaufensterphase“ für Ausnutzung.
Der Ablauf ist dabei entscheidend für die Debatte. Üblicherweise hängt eine Protokolländerung am XRP Ledger an dem normalen Änderungsprozess, der nach Angaben der XRPL Foundation erst mit einer Validator-Mehrheit von über 80 Prozent über zwei Wochen verpflichtend wird. Im vorliegenden Fall berichten die Entwickler, dass der Fix unmittelbar nach der Veröffentlichung auf jedem Server wirksam wurde, der das Update installiert. Besonders bemerkenswert ist zudem die historische Einordnung: Es sei der erste bewusste Umgehungsfall des normalen Amendment-Prozesses seit Einführung des Systems vor mehr als zehn Jahren gewesen. Genau diese seltene Ausnahme macht die Maßnahme politisch und vertrauensbezogen, nicht nur sicherheitstechnisch relevant.
Technisch drehen sich die Vorwürfe und Rechtfertigungen um einen Integer-Overflow in der Payment Engine, der nach dem Vulnerability-Disclosure-Bericht seit 2015 im System vorhanden gewesen sein soll. Laut Beschreibung werden XRP-Balancen als 64-Bit-Integer gespeichert und mit einem festen Maximalwert begrenzt. Überschreitet eine Berechnung diese Obergrenze, soll die Logik nicht sauber fehlschlagen, sondern auf einen kleineren Wert „wrappen“ – ein klassisches Verhalten, das bei Überläufen häufig entsteht. Der Angriffspfad wird im Bericht als spezifisch konstruiert beschrieben: Ein Angreifer könne durch Hunderte gezielt bepreiste Angebote eine Situation erzeugen, in der eine einzelne Zahlung das Kontingent aller Angebote auf einen Schlag verarbeitet, während die interne Rechnung nur den „wrapped“ Gesamtbetrag an den Käufer belastet, aber die Angebotsinhaber mit der vollen, beabsichtigten Summe gutschreibt.
Damit entsteht rechnerisch neu erstelltes, auszahlbares XRP: Die Differenz zwischen dem, was intern korrekt als Kredit gutgeschrieben wird, und dem, was der Käufer aufgrund des Wraps tatsächlich „bezahlt“, wird spendbar. Wichtig ist dabei die Einschränkung im Bericht: Das Problem erfordert offenbar bewusst konstruierte Angebote und soll sich nicht durch normale Handelsaktivität auslösen lassen. Für die Verteidiger des Patches ist das ein Argument gegen „praktische Ausnutzung im Alltag“, gleichzeitig verschiebt es die Risikoabwägung in Richtung „gezielte Vorbereitung durch Angreifer“. Entwickler sagen zudem, sie hätten keinen Hinweis gefunden, dass der Fehler bereits auf öffentlichen Netzwerken ausgenutzt wurde. Ob das die Dringlichkeit relativiert oder eher bestätigt, hängt jedoch stark davon ab, wie schnell eine verifizierte Schwachstelle nach der Meldung missbraucht werden könnte.
Zusätzlich zur technischen Lage hat die Art der Bereitstellung das Vertrauen in den Governance-Prozess berührt. Der Fix sei drei Tage nach einem Bug-Bounty-Report veröffentlicht worden. Kritische Stimmen sehen darin Indizien für eine zu schnelle, zu wenig transparente Steuerung: In der Debatte wurde außerdem angeführt, dass der Notfallrelease zunächst als Binaries bereitgestellt wurde, während der Source Code zeitweise zurückgehalten worden sei und Betreiber unter Zeitdruck zum Upgrade gebracht worden seien. Die XRPL Foundation widerspricht der Zentralisierungsnarrative: Die Entscheidung, den normalen Amendment-Prozess zu überspringen, sei nach Angaben der Foundation gemeinsam getroffen worden – gemeinsam mit Foundation, RippleX, Core-Entwicklern und Validatoren. Gleichzeitig betont die Foundation, dass keine einzelne Partei den Schritt allein kontrollieren könne, weil jeder Validator und jede Node-Operatorin die von ihr ausgeführte Software selbst auswähle; Protokolländerungen liefen grundsätzlich über Amendments.
Die öffentliche Diskussion wird damit weniger zur Frage „war der Bug real?“ und mehr zur Frage „was bedeutet Notfallführung für Dezentralisierung?“. Auf der technischen Ebene verweist XRPL auf den eigenen Anspruch, ein vollständig dezentrales, öffentliches Blockchain-Netzwerk zu sein. Genau diese Charakterisierung steht im Zentrum von Kontroversen rund um XRP als Anlageinstrument. Der Cyber-Capital-Gründer Justin Bons erklärte am Donnerstag, die Vermarktung von XRP an Retail-Investoren als dezentral entspreche „angeblich“ einem „straight-up fraud“; er argumentierte zudem, der Notfallrelease vom 25. September sei als Binaries erfolgt und der Source Code sei zeitweise zurückgehalten worden, wodurch Betreiber zu einem Upgrade gedrängt worden seien. Solche Aussagen sind Teil eines politischen Vertrauensdiskurses und lassen sich nicht allein durch den Security-Fix auflösen, weil Nutzer und Marktteilnehmer Governance-Mechanismen als Bestandteil des Risikoprofils ansehen.
Auch ein unabhängiger Validator, XRP Kuwait, weist die Schlussfolgerung „Koordination gleich Kontrolle“ zurück. Die Kernaussage: Kommunikation und abgestimmte Updates seien nicht automatisch ein Beleg für zentralisierte Steuerung. In der Logik des dezentralen Designs können unabhängige Operatoren eine Lage bewerten, sich darüber austauschen und zu ähnlichen Entscheidungen kommen, ohne ihre Unabhängigkeit aufzugeben. Für Unternehmen und Entwickler, die XRP Ledger-Anwendungen planen, ist damit weniger eine einzelne „richtige“ Position entscheidend, sondern die praktische Frage, wie schnell und wie nachvollziehbar Sicherheitsmaßnahmen in extremen Situationen umgesetzt werden. Der Notfallpatch zeigt jedenfalls, dass Governance-Mechanismen im Ernstfall nicht nur abstimmungspolitisch wirken, sondern direkt darüber entscheiden, wie lange ein Angriffsfenster offen bleibt.
Für die nähere Zukunft bleibt die wichtigste Lehre die Balance zwischen Sicherheit und Transparenz: Ein Amendment-System, das bewusst Zeit für mehrheitliche Validierung einplant, schützt zwar vor hektischen Änderungen, kostet aber im Angriffsfall Zeit. Gleichzeitig ist gerade der Umstand, dass es laut Entwicklern erst der erste bewusste Amendment-Bypass seit über zehn Jahren gewesen sein soll, ein Hinweis darauf, dass solche Eingriffe nicht als Routine gedacht sind. Unternehmen, die auf XRPL oder darauf basierende Zahlungen setzen, sollten deshalb zusätzlich zu der reinen Implementierungsebene auch die Update-Pfade in ihre Betriebsprozesse einbauen: Wer betreibt Knoten, wie schnell kann ein Rollout erfolgen, und welche Annahmen werden im Betrieb über Abstimmungs- und Release-Zyklen getroffen? Der Vorfall macht deutlich, dass Dezentralisierung im Alltag nicht nur in Prinzipien, sondern in konkreten Betriebs- und Entscheidungszeiten messbar wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Notfallpatch nach „Unlimited XRP“-Bug: Warum das Amendment übergangen wurde" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Notfallpatch nach „Unlimited XRP“-Bug: Warum das Amendment übergangen wurde" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Notfallpatch nach „Unlimited XRP“-Bug: Warum das Amendment übergangen wurde« bei Google Deutschland suchen, bei Bing oder Google News!