XRP Ledger: Integerüberlauf-Schwachstelle könnte theoretisch 18 Billionen XRP aus dem Nichts erzeugen.
Am 9. Oktober gaben RippleX und die XRPL Foundation bekannt, dass die Zahlungsausführung eine seit 2015 bestehende Integerüberlauf-Schwachstelle aufwies. Eine sorgfältig konstruierte Einzeltransaktion hätte rund 18 Billionen XRP (etwa 94 Milliarden US-Dollar) erzeugen können. Gemeldet wurde die Schwachstelle am 22. September vom Sicherheitsforscher Cayden Liao; am 25. September wurde sie notfallmäßig behoben. Die Prämie betrug 250.000 US-Dollar – die höchste Stufe des Programms.
Wichtige Fakten:
1. Nicht ausgenutzt: Laut offizieller Bestätigung gibt es keine Hinweise auf eine Ausnutzung im öffentlichen Netzwerk. Der aktuelle Bestand liegt weiterhin bei 9,9986 Milliarden XRP.
2. Ausnahme vom üblichen Verfahren: Die Korrektur trat sofort in Kraft und umging damit das reguläre Verfahren, das eine Unterstützung von 80 % der Validatoren über zwei Wochen vorsieht. In den mehr als zehn Jahren seit Einführung dieses Mechanismus wurde dieses Verfahren damit zum ersten Mal bewusst umgangen. Mehr als 80 % der Validatoren aktualisierten noch am Tag der Veröffentlichung.
3. Streit um die Dezentralisierung: Justin Bons, Gründer von Cyber Capital, sagte, dieser Schritt beweise, dass XRPL „überhaupt nicht dezentralisiert“ sei. Die Foundation erwiderte, die Entscheidung sei gemeinsam von der Foundation, RippleX, den Kernentwicklern und den Validatoren getroffen worden. Node-Betreiber könnten weiterhin frei entscheiden, welche Version sie ausführen.
Einschätzung: Die Schwachstelle selbst wurde behoben; die eigentliche Frage betrifft die Governance. Ein Netzwerk, das sich als vollständig dezentralisiert bezeichnet, entschied sich zwischen „das reguläre Verfahren würde die Schwachstelle wochenlang öffentlich machen“ und einer „Notfallumgehung des Verfahrens“ für Letzteres – aus Sicherheitssicht richtig, aber mit einem Preis für die eigene Erzählung. Das Argument, XRP sei „kein Wertpapier“, stützt sich zu einem großen Teil auf den Anspruch der Dezentralisierung.
#XRP #Sicherheit
Nur meine persönliche Meinung; dies stellt keine Anlageberatung dar.
Am 9. Oktober gaben RippleX und die XRPL Foundation bekannt, dass die Zahlungsausführung eine seit 2015 bestehende Integerüberlauf-Schwachstelle aufwies. Eine sorgfältig konstruierte Einzeltransaktion hätte rund 18 Billionen XRP (etwa 94 Milliarden US-Dollar) erzeugen können. Gemeldet wurde die Schwachstelle am 22. September vom Sicherheitsforscher Cayden Liao; am 25. September wurde sie notfallmäßig behoben. Die Prämie betrug 250.000 US-Dollar – die höchste Stufe des Programms.
Wichtige Fakten:
1. Nicht ausgenutzt: Laut offizieller Bestätigung gibt es keine Hinweise auf eine Ausnutzung im öffentlichen Netzwerk. Der aktuelle Bestand liegt weiterhin bei 9,9986 Milliarden XRP.
2. Ausnahme vom üblichen Verfahren: Die Korrektur trat sofort in Kraft und umging damit das reguläre Verfahren, das eine Unterstützung von 80 % der Validatoren über zwei Wochen vorsieht. In den mehr als zehn Jahren seit Einführung dieses Mechanismus wurde dieses Verfahren damit zum ersten Mal bewusst umgangen. Mehr als 80 % der Validatoren aktualisierten noch am Tag der Veröffentlichung.
3. Streit um die Dezentralisierung: Justin Bons, Gründer von Cyber Capital, sagte, dieser Schritt beweise, dass XRPL „überhaupt nicht dezentralisiert“ sei. Die Foundation erwiderte, die Entscheidung sei gemeinsam von der Foundation, RippleX, den Kernentwicklern und den Validatoren getroffen worden. Node-Betreiber könnten weiterhin frei entscheiden, welche Version sie ausführen.
Einschätzung: Die Schwachstelle selbst wurde behoben; die eigentliche Frage betrifft die Governance. Ein Netzwerk, das sich als vollständig dezentralisiert bezeichnet, entschied sich zwischen „das reguläre Verfahren würde die Schwachstelle wochenlang öffentlich machen“ und einer „Notfallumgehung des Verfahrens“ für Letzteres – aus Sicherheitssicht richtig, aber mit einem Preis für die eigene Erzählung. Das Argument, XRP sei „kein Wertpapier“, stützt sich zu einem großen Teil auf den Anspruch der Dezentralisierung.
#XRP #Sicherheit
Nur meine persönliche Meinung; dies stellt keine Anlageberatung dar.