Das XRP Ledger (XRPL) hat eine kritische Schwachstelle behoben, die möglicherweise seit etwa 2015 bestanden hatte. Der von den Sicherheitsforschern Cayden Liao und Veria Labs entdeckte Fehler hätte es einem Angreifer theoretisch ermöglichen können, durch eine speziell gestaltete Transaktion etwa 18,45 Billionen ausgebbare XRP zu erzeugen – weit mehr als die offizielle Obergrenze des Netzwerks von 100 Milliarden Token. Die Ermittler fanden jedoch keine Hinweise darauf, dass die Schwachstelle jemals ausgenutzt wurde.
Das Problem bestand in einem Integer-Überlauf in der Zahlungsabwicklungs-Engine des XRPL, durch den komplexe Transaktionen mit mehreren Angeboten aus dem Orderbuch Zahlungen falsch berechnen konnten. In einem kontrollierten Test zeigte sich, dass der Fehler es ermöglichte, Verkäufer vollständig zu bezahlen und Käufern zugleich fast nichts zu berechnen. Noch besorgniserregender war, dass der Schutzmechanismus für die Angebotsmenge auf denselben fehlerhaften Berechnungen beruhte. Dadurch hätte die unbefugte Erzeugung von XRP möglicherweise unentdeckt bleiben können.
Nachdem RippleX am 22. September den Bericht über die Sicherheitslücke erhalten hatte, reproduzierten die Ingenieure das Problem, stuften es als kritisch ein und veröffentlichten am 25. September über die Version 3.4.1 von xrpld einen Notfall-Patch. Berichten zufolge übernahmen noch am selben Tag mehr als 80 % der Validatoren das Update. Um das Ausnutzungsrisiko zu minimieren, umgingen die Entwickler das übliche Änderungsverfahren des XRPL, für das normalerweise über einen Zeitraum von etwa zwei Wochen anhaltende Unterstützung durch die Validatoren erforderlich ist.
Sowohl RippleX als auch die XRP Ledger Foundation bestätigten, dass keine unbefugte Erzeugung von XRP festgestellt worden war und die Obergrenze von 100 Milliarden XRP weiterhin Bestand hatte. Der Vorfall warf dennoch Fragen zum Verhältnis zwischen dezentraler Governance und der Notwendigkeit schneller Sicherheitsmaßnahmen auf.
Als Reaktion darauf plant Ripple, sein Bug-Bounty-Programm zu stärken, die KI-gestützte Codeanalyse auszuweiten und eine formale Verifikation für kritische Ledger-Komponenten einzuführen. Diese Maßnahmen sollen dazu beitragen, ähnliche Schwachstellen früher zu erkennen und das Vertrauen in die Sicherheit des XRPL zu stärken.
Letztlich erinnert der Vorfall daran, dass selbst etablierte Blockchain-Netzwerke lang bestehende Schwachstellen aufweisen können. Obwohl die Sicherheitslücke behoben wurde, bevor eine Ausnutzung bekannt wurde, bleiben kontinuierliche Sicherheitsaudits, eine transparente Überwachung des Angebots und klare Verfahren für die Notfall-Governance unerlässlich, um das Vertrauen in das XRP Ledger zu erhalten. #xrp $XRP
