LONDON (IT BOLTWISE) – Ein Notfallpatch für den XRP Ledger schließt eine seit 2015 unentdeckte Schwachstelle im Zahlungs-Engine-Pfad. Die Änderung verhindert einen Integer-Overflow, der in einer einzelnen Transaktion theoretisch etwa 18 Billionen XRP hätte „prägen“ können. Laut der Meldung wurde die Lücke über das XRPL-Bug-Bounty-Programm gemeldet und mit xrpld 3.4.1 innerhalb von drei Tagen behoben. Offen bleibt, ob Angreifer je versuchten, die Schwachstelle auszunutzen.
Der XRP Ledger hat einen Fehler im Kern seiner Zahlungslogik gestoppt, der in einer einzelnen Transaktion theoretisch eine Größenordnung erreicht hätte, die den festen Charakter des Assets ad absurdum führen würde. Statt beim Rechnen sauber zu prüfen, ob eine Summierung den Wertebereich eines 64-Bit-Integer-Typs überschreitet, erlaubt die Implementierung in einem bestimmten Pfad, dass ein Überlauf entsteht. Ergebnis wäre ein „wrap-around“-Wert gewesen, also eine Art Rücksprung auf einen deutlich kleineren Betrag, während die Auszahlungen an die Anbieter im Orderbuch weiterhin ihren korrekten Anteil erhalten hätten. Genau diese Diskrepanz zwischen dem tatsächlich aus der Kaufseite abgezogenen Betrag und der Summe der zu verteilenden Angebote macht die Lücke für ein Ledger so brisant.
Technisch läuft die Kette dabei nicht auf exotische Kryptografie-Details hinaus, sondern auf eine unscheinbar wirkende Arithmetik-Fehlannahme. In dem beschriebenen Mechanismus zieht eine Zahlung auf dem XRP Ledger Wert aus mehreren Offers, die im Orderbuch vorhanden sind. Der Payment-Engine-Teil addiert diese Teilbeträge mit einem 64-bit Integer. Sobald die Summe den maximal darstellbaren Bereich überschreitet, kippt das Ergebnis in einen kleineren Rundungswert; wie bei einem digitalen Kilometerzähler, der nach dem letzten Ziffernstand wieder bei Null beginnt. Für die Käuferseite bedeutet das: Bezahlt wird rechnerisch nur der Überlaufwert, für die Verkäuferseite zählt aber die korrekte, unüberlaufene Verteillogik. Ein Angreifer hätte damit potenziell eine Transaktion konstruieren können, in der das Ledger ökonomisch „zu günstig“ eingekauft wird, obwohl die Gegenleistung höher wäre.
Die zeitliche Abfolge wirkt wie ein Testlauf dafür, wie schnell sich Angriffs- und Abwehrzyklen in der Praxis verschieben können. Veria Labs meldete die Schwachstelle am 22. September über das Bug-Bounty-Programm des XRPL, nachdem laut Bericht ein AI-Agent die Lücke bereits am 21. September entdeckt und anschließend innerhalb eines lokalen Testnetz-Setups einen funktionierenden Proof-of-Concept zum Ausnutzen entwickelt hatte. Besonders bemerkenswert ist, dass die Auszahlung laut Quelle 250.000 US-Dollar entsprach – das Maximum unter dem XRPL-Bug-Bounty-Programm – und damit nach Aussage des Gründers Cayden Liao zu den höchsten Rewards gehört, die er für eine rein durch einen AI-Agent gefundenen Schwachstelle kennt. Eine solche Kombination aus automatisierter Analyse und nachgelagerter Exploit-Konstruktion verkürzt die „Forschungszeit“ deutlich gegenüber klassischen Ansätzen, bei denen man oft länger bei Code-Diffs oder manuellen Prüfpfaden bleibt.
Normalerweise ändert der XRP Ledger seine Regeln nur über ein Amendment-Verfahren: Eine Proposal wird ausgerollt, Validatoren stimmen ab und erst eine Supermajorität führt dazu, dass neue Logik netzweit in Kraft tritt. Genau dieser Mechanismus ist langsam – und zwar bewusst, weil niemand die Basis eines Zahlungsnetzes leichtfertig umschalten will. In diesem Fall setzte RippleX aber auf einen Notfallpfad: Entwickelt wurde eine emergency release mit xrpld 3.4.1, die nach dem Upgrade auf jedem Node unmittelbar greift und die Amendment-Abstimmung umgeht. Laut der genannten Auswertung waren am Tag der Veröffentlichung mehr als 80% der Validatoren auf der default Unique Node List bereits auf xrpld 3.4.1, was die Verteilung der Schutzmaßnahme erheblich beschleunigt hat.
Obwohl ein so großer Geldwert theoretisch möglich gewesen wäre, berichtet der Vorgang zugleich, dass es keine Hinweise auf eine Ausnutzung auf öffentlichen Netzwerken gab. Im öffentlichen Betrieb wurde folglich kein unautorisierter XRP-Betrag erzeugt; stattdessen bleibt die grundsätzliche Einordnung stabil, dass die feste 100-Milliarden-Supply als Obergrenze weiterhin gilt und sich sogar durch verbrannte Transaktionsgebühren leicht reduziert. Diese saubere outcome-Story ist aber kein Beleg dafür, dass die Sicherheitsarchitektur „automatisch funktioniert“, sondern eher eine Momentaufnahme von zwei Dingen, die getrennt zu betrachten sind: Erstens, dass die Lücke gemeldet wurde, bevor ein Angreifer sie verwerten konnte. Zweitens, dass der Patch in der relevanten Validator-Abdeckung schneller greift, als ein massiver Angriff praktisch hätte koordiniert werden können. In der Praxis entscheidet häufig die Latenz zwischen Entdeckung, Reproduktion, Fix-Integration und Node-Rollout darüber, ob sich ein theoretischer Overflowszenario zur echten Schadensrealität wandelt.
Für die Einordnung in die Markt- und Infrastrukturperspektive ist der Punkt entscheidend, dass der Fehler nicht als Randfall irgendwo in einem selten genutzten Eckencode beschrieben wird, sondern im Orderbuch-Zahlungsprozess. Gerade dort fließen typischerweise besonders viele Transaktionen; wenn sich eine Overflowsperre über Jahre nicht an der richtigen Stelle findet, zeigt das eine Lücke in den typischen Audit- und Teststrategien für finanzielle Kernkomponenten. Das ist auch deshalb relevant, weil XRP seine Tokenomics explizit über die harte Supply-Grenze verkauft. Ein Bug, der in einer einzelnen Zahlung theoretisch etwa 180-mal über das gesamte Supply-Cap hinaus gehen könnte, greift damit nicht nur in eine Preisannahme ein, sondern in ein Versprechen, das für Investoren und Integrationen zentral ist. Dass der Fix am Ende dennoch verhältnismäßig schnell ausgerollt werden konnte, zeigt zugleich, wie wertvoll für Betreiber klare Notfallmechanismen sind, wenn das Amendment-Modell zu langsam für einen konkreten Expositionszeitraum wird.
Darüber hinaus lässt sich aus dem Fall eine größere Sicherheitsdynamik ableiten: Wenn ein AI-Agent in unter 48 Stunden eine elf Jahre alte Schwachstelle findet, die dann auch noch zu einem Exploit-Proof nachverarbeitet wird, wird das Sicherheitsrennen neu getaktet. Das bedeutet nicht, dass Abwehr „schlechter“ wird; aber die Protokoll- und Release-Prozesse müssen stärker darauf ausgelegt sein, dass sowohl Angreifer als auch Verteidiger schneller arbeiten. In dieser Meldung hat die Verteidigung nach der Entdeckung zwar zeitnah reagiert, aber sie brauchte dennoch mehrere Tage, bis der Patch flächig wirksam wurde. Für künftige Vorfälle heißt das: Ein Reporter muss nicht immer vor einem Angreifer am Ziel sein; wichtiger wird, wie gut Systeme auch dann schützen, wenn die erste verwertbare Sekunde nach der Entdeckung nicht mehr in der Hand der Verteidiger liegt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "XRPL-Notfallpatch stoppt Integer-Overflow, der 18 Billionen XRP hätte prägen können" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "XRPL-Notfallpatch stoppt Integer-Overflow, der 18 Billionen XRP hätte prägen können" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »XRPL-Notfallpatch stoppt Integer-Overflow, der 18 Billionen XRP hätte prägen können« bei Google Deutschland suchen, bei Bing oder Google News!