Laut einem am Freitag veröffentlichten Sicherheitsbericht hätte eine Schwachstelle in der Zahlungssoftware des XRP Ledger einem Angreifer ermöglichen können, aus dem Nichts ausgebbare XRP zu erzeugen. Der Fehler war wahrscheinlich seit 2015 unentdeckt geblieben.
Das Angebot an XRP ist auf 100 Milliarden Token begrenzt. Bei einem Kurs von 1,41 $ ist der Token etwa 88,8 Milliarden $ wert. RippleX, die Entwicklerabteilung von Ripple, erklärte, es gebe keine Anzeichen dafür, dass jemand die Schwachstelle ausgenutzt habe.
Wie eine einzige Zahlung neue XRP hätte erzeugen können
Das XRP Ledger verfügt über einen integrierten Marktplatz, auf dem Konten Angebote einstellen können, um einen Token gegen einen anderen zu tauschen.
Dem Bericht zufolge hätte ein Angreifer einige hundert Konten eröffnen können. Jedes davon hätte eine winzige Menge eines Tokens im Austausch gegen eine riesige Menge XRP angeboten.
Eine einzige Zahlung hätte dann alle Angebote auf einmal aufgekauft. Die laufende Gesamtsumme der Software wurde zu groß für ihren Zähler und sprang auf eine winzige Zahl zurück – ähnlich wie bei einem Kilometerzähler, der seinen Höchststand überschreitet.
Die Konten, die verkauften, erhielten den vollen Betrag, während der Käufer fast nichts bezahlte. Eine Sicherheitsprüfung, die neu ausgegebene XRP erkennen sollte, verwendete denselben Zähler und übersah daher ebenfalls die Lücke.
Der Forscher Cayden Liao und Veria AI meldeten den Fehler am 22. September über das XRPL-Bug-Bounty-Programm.
Offizieller Bericht zur Offenlegung der XRPL-Sicherheitslücke, veröffentlicht am 9. Oktober 2026. Was geschahEin Forscher (Cayden Liao und Veria AI) meldete am 22. September 2026 über das XRPL-Bug-Bounty-Programm einen Ganzzahlüberlauf-Fehler in der Zahlungs-Engine. Betroffen waren xrpld 3.4.0 und frühere Versionen…
— MartyParty (@martypartymusic) 10. Oktober 2026
Warum Ripple die Validator-Abstimmung auf dem XRP Ledger umging
Regeländerungen auf dem XRP Ledger müssen normalerweise zwei Wochen lang von mehr als 80 % der vertrauenswürdigen Validatoren unterstützt werden – also von den Servern, die Transaktionen bestätigen.
Diese Fehlerbehebung, die am 25. September mit der Server-Softwareversion 3.4.1 veröffentlicht wurde, trat in Kraft, sobald die jeweiligen Betreiber das Upgrade durchführten.
„Seit Einführung des Änderungssystems vor mehr als zehn Jahren wurde erstmals eine Änderung an der Transaktionsverarbeitung auf diese Weise absichtlich veröffentlicht“, erklärte RippleX.
RippleX erklärte, eine öffentliche Abstimmung hätte den Fehler wochenlang im frei zugänglichen Code offengelegt, während er weiterhin ausnutzbar gewesen wäre. Mehr als 80 % der Standard-Validatoren führten das Upgrade am Tag der Veröffentlichung durch, bevor der Code der Fehlerbehebung veröffentlicht wurde.
Die Offenlegung erfolgt einen Tag, nachdem Cyber-Capital-Gründer Justin Bons den Verkauf von XRP als dezentral als „Betrug“ bezeichnet hatte – in einer Debatte über die Dezentralisierung von XRP mit Ripples David Schwartz. Dem Bericht zufolge trafen die XRPL Foundation, RippleX und Validatoren die Entscheidung gemeinsam.
RippleX erklärte, dass Abstimmungen auch bei künftigen Änderungen die Regel bleiben.