Die 100-Milliarden-Angebotsobergrenze von XRP ist sicher, nachdem RippleX einen kritischen XRPL-Fehler behoben hat
RippleX, das Engineering- und Softwareentwicklungsteam von Ripple, hat eine kritische Schwachstelle im XRP Ledger (XRPL) behoben.
Bemerkenswert ist, dass der Fehler es Angreifern ermöglicht hätte, etwa 18,45 Billionen XRP in einer einzigen Transaktion zu erstellen und damit möglicherweise die ursprüngliche Obergrenze des Netzwerks für das Token-Angebot von 100 Milliarden zu überschreiten.
Forscher des US-amerikanischen Cybersicherheits-Startups Veria Labs entdeckten die Schwachstelle mithilfe eines auf künstlicher Intelligenz basierenden Sicherheitsagenten, der in einer lokalen Testumgebung einen funktionierenden Exploit entwickelte. Die Schwachstelle war seit 2015 im Zahlungsabwicklungscode der XRPL unentdeckt geblieben.
In einem Bericht vom 12. Oktober warnten die Forscher, dass der Fehler den gemeldeten Marktwert von XRP in Höhe von 94 Milliarden US-Dollar hätte gefährden können. Bei der Sicherheitslücke handelte es sich um einen Integer-Überlauf in der Zahlungs-Engine von XRPL. Wenn bei einer Transaktion mehrere dezentrale Börsenaufträge verarbeitet wurden, konnte die Software den gesamten XRP, der zur Abwicklung dieser Aufträge erforderlich war, falsch berechnen.
Dadurch konnten Verkäufer die vollen mit ihren Bestellungen verbundenen Beträge erhalten, während dem Käufer wesentlich weniger berechnet wurde. Ein zweiter Rechenfehler im Vorratsschutzmechanismus des Ledgers könnte dann verhindern, dass die Transaktion abgelehnt wird.
Veria Labs schätzte, dass eine einzige erfolgreiche Transaktion mehr als das 184-fache des ursprünglichen XRP-Angebots von XRPL erzeugen könnte. Die Forscher sagten auch, dass der Angriff unter den richtigen Bedingungen wiederholt werden könnte.
„Ein Angreifer hätte in einer einzigen validierten Transaktion ausgabefähiges XRP erzeugen können, das weit über den Gesamtvorrat hinausgeht“, erklärte Veria Labs.
Das Unternehmen meldete die Schwachstelle am 22. September 2026. Der Fix wurde am folgenden Tag zusammengeführt und die Notfallsoftwareversion Rippled 3.4.1 kam am 25. September an.
Die Antwort umging den standardmäßigen Änderungsprozess von XRPL, der im Allgemeinen die Unterstützung von mehr als 80 % der vertrauenswürdigen Validatoren über einen Zeitraum von zwei Wochen erfordert.
Aus Gründen des Kontexts entschieden sich die Entwickler für ein sofortiges Software-Update, da die Veröffentlichung des Patches während des Wartens auf den üblichen Genehmigungsprozess die Schwachstelle für Angreifer hätte aufdecken können, bevor das Netzwerk vollständig geschützt war. Der Offenlegung zufolge wurden mehr als 80 % der Standardvalidatoren am Tag der Veröffentlichung aktualisiert.
Die Offenlegung folgt auf einen separaten Sicherheitsvorfall im August, bei dem ein Angreifer etwa 200.000 US-Dollar von der tx XRPL Cross-Chain-Brücke gestohlen hat. Bei dem Angriff handelte es sich um eine Software, die Transaktionen fälschlicherweise als Einzahlungen erkannte, obwohl die entsprechenden XRP die Reserven der Brücke noch nicht erreicht hatten.
Der Bridge-Betreiber hat daraufhin den Dienst angehalten und die Sicherheitslücke behoben.
Dennoch kündigten XRPL-Entwickler am Sonntag Pläne an, die Sicherheitstests durch obligatorische erneute Tests behobener Schwachstellen vor Veröffentlichungen und eine erweiterte KI-gestützte Fehlererkennung zu verstärken.
„Gemeinsam mit RippleX und der Community werden wir sicherstellen, dass das XRP-Ledger vor solchen Schwachstellen geschützt ist. Das bedeutet, dass wir formale Verifizierung und KI-Gegnertests radikal anwenden, eng mit Sicherheitsforschern zusammenarbeiten und das Bug-Bounty-Programm stärken.“ Sie erklärten auf X.
