XRP-Schwachstelle konnte eine „Geldschöpfung aus dem Nichts“ ermöglichen: behoben – was sollten Inhaber überprüfen?
Jetzt sollten vor allem die Node-Upgrades und der Ein- und Auszahlungsstatus der genutzten Plattformen überprüft werden. Die Offenlegung der Schwachstelle bedeutet nicht, dass bereits große Mengen XRP zusätzlich geschaffen wurden. Die offizielle Stelle hat eine korrigierte Version veröffentlicht und erklärt, dass es bislang keine Hinweise auf eine Ausnutzung im öffentlichen Netzwerk gibt. Das ist jedoch keine Garantie für absolute Sicherheit in der Zukunft.
Am 9. Oktober veröffentlichte XRPL Details zu einer Schwachstelle in der Zahlungs-Engine. Der Patch xrpld 3.4.1 war bereits Ende September erschienen. Es handelte sich also um eine Offenlegung nach der Behebung und nicht um einen plötzlich an diesem Tag eingetretenen Vorfall mit zusätzlicher XRP-Ausgabe.
Das Problem lag in der Berechnung auf dem Server: Eine speziell konstruierte Transaktion konnte einen Überlauf des Gesamtbetrags auslösen, sodass zu viel gutgeschrieben und zu wenig abgebucht wurde. Auch bei der bisherigen Prüfung der Gesamtmenge kam ein ähnlicher Algorithmus zum Einsatz. Eine „feste Gesamtmenge“ ersetzt daher keine korrekte Implementierung.
Allerdings dürfen die beiden Korrekturen nicht verwechselt werden. Die Schwachstelle, die eine zusätzliche Ausgabe ermöglichte, wurde unmittelbar nach dem Node-Upgrade behoben. Die korrigierten Regeln für eine weitere Batch-Verarbeitungsschwachstelle wurden dagegen erst am 9. Oktober aktiviert. Inzwischen werden Nodes mit alten Versionen durch die neuen Regeln blockiert und können nicht mehr mit dem Mainnet Schritt halten. Dass eine Webseite noch erreichbar ist, reicht also nicht aus, um auf einen ordnungsgemäßen Dienst zu schließen.
Wer einen eigenen Node betreibt, sollte gemäß der offiziellen Vorgabe auf Version 3.4.1 oder höher aktualisieren und den Synchronisierungsstatus überprüfen. Wer XRP über eine Wallet oder eine Börse hält, sollte vor allem die Mitteilungen des Dienstanbieters und den entsprechenden Ein- und Auszahlungsstatus für XRP prüfen, statt selbst den On-Chain-Kontostand „reparieren“ zu wollen.
In den kommenden 48 Stunden werde ich auf überprüfbare Hinweise auf eine ungewöhnliche zusätzliche Ausgabe oder einen Ausfall des Mainnets sowie auf Upgrade- und Wiederherstellungsmeldungen der Dienstanbieter achten. Gibt es Belege für eine Ausnutzung im öffentlichen Netzwerk oder tritt bei aktualisierten Nodes erneut ein ähnliches Problem auf, stufe ich das Risiko höher ein. Ich stufe dieses operative Risiko erst dann niedriger ein, wenn die Synchronisierung der betreffenden Dienste und die Wiederaufnahme der Gutschriften überprüfbar sind – die bloße Aussage „Patch veröffentlicht“ reicht nicht aus.
#XRP #资产安全 #Blockchain
Jetzt sollten vor allem die Node-Upgrades und der Ein- und Auszahlungsstatus der genutzten Plattformen überprüft werden. Die Offenlegung der Schwachstelle bedeutet nicht, dass bereits große Mengen XRP zusätzlich geschaffen wurden. Die offizielle Stelle hat eine korrigierte Version veröffentlicht und erklärt, dass es bislang keine Hinweise auf eine Ausnutzung im öffentlichen Netzwerk gibt. Das ist jedoch keine Garantie für absolute Sicherheit in der Zukunft.
Am 9. Oktober veröffentlichte XRPL Details zu einer Schwachstelle in der Zahlungs-Engine. Der Patch xrpld 3.4.1 war bereits Ende September erschienen. Es handelte sich also um eine Offenlegung nach der Behebung und nicht um einen plötzlich an diesem Tag eingetretenen Vorfall mit zusätzlicher XRP-Ausgabe.
Das Problem lag in der Berechnung auf dem Server: Eine speziell konstruierte Transaktion konnte einen Überlauf des Gesamtbetrags auslösen, sodass zu viel gutgeschrieben und zu wenig abgebucht wurde. Auch bei der bisherigen Prüfung der Gesamtmenge kam ein ähnlicher Algorithmus zum Einsatz. Eine „feste Gesamtmenge“ ersetzt daher keine korrekte Implementierung.
Allerdings dürfen die beiden Korrekturen nicht verwechselt werden. Die Schwachstelle, die eine zusätzliche Ausgabe ermöglichte, wurde unmittelbar nach dem Node-Upgrade behoben. Die korrigierten Regeln für eine weitere Batch-Verarbeitungsschwachstelle wurden dagegen erst am 9. Oktober aktiviert. Inzwischen werden Nodes mit alten Versionen durch die neuen Regeln blockiert und können nicht mehr mit dem Mainnet Schritt halten. Dass eine Webseite noch erreichbar ist, reicht also nicht aus, um auf einen ordnungsgemäßen Dienst zu schließen.
Wer einen eigenen Node betreibt, sollte gemäß der offiziellen Vorgabe auf Version 3.4.1 oder höher aktualisieren und den Synchronisierungsstatus überprüfen. Wer XRP über eine Wallet oder eine Börse hält, sollte vor allem die Mitteilungen des Dienstanbieters und den entsprechenden Ein- und Auszahlungsstatus für XRP prüfen, statt selbst den On-Chain-Kontostand „reparieren“ zu wollen.
In den kommenden 48 Stunden werde ich auf überprüfbare Hinweise auf eine ungewöhnliche zusätzliche Ausgabe oder einen Ausfall des Mainnets sowie auf Upgrade- und Wiederherstellungsmeldungen der Dienstanbieter achten. Gibt es Belege für eine Ausnutzung im öffentlichen Netzwerk oder tritt bei aktualisierten Nodes erneut ein ähnliches Problem auf, stufe ich das Risiko höher ein. Ich stufe dieses operative Risiko erst dann niedriger ein, wenn die Synchronisierung der betreffenden Dienste und die Wiederaufnahme der Gutschriften überprüfbar sind – die bloße Aussage „Patch veröffentlicht“ reicht nicht aus.
#XRP #资产安全 #Blockchain