Die Entwickler des XRP Ledger (XRPL) haben den Notfall-Sicherheitspatch verteidigt, der eingesetzt wurde, um einen Bug zu beheben, der XRP über das feste Angebot des Netzwerks hinaus hätte erzeugen können. Sie argumentierten, dass sie nicht auf die übliche zweiwöchige Validator-Abstimmung der Blockchain warten konnten, ohne die Schwachstelle potenziellen Angreifern preiszugeben.

Anders als Netzwerke, die im Laufe der Zeit neue Coins erzeugen, startete der XRP Ledger mit seinem gesamten Angebot von 100 Milliarden XRP, das von Anfang an bereits existierte – deshalb traf ein Codepfad, der zusätzliche Token hätte erzeugen können, eine grundlegende Eigenschaft des Assets.

Der Patch wurde am 25. September veröffentlicht, drei Tage nach einem Bug-Bounty-Bericht, und trat sofort auf jedem Server in Kraft, der ihn installierte. Laut den Entwicklern markierte dies die erste bewusste Umgehung des standardmäßigen Amendment-Prozesses des Netzwerks seit Einführung dieses Systems vor mehr als zehn Jahren. Nach diesem Prozess werden Protokolländerungen als Amendments ausgeliefert und erst aktiviert, wenn mehr als 80 % der Validatoren sie zwei Wochen in Folge unterstützen – dieselbe Schwelle, die die XRPL Foundation später zur Verteidigung der verpflichtenden Umstellung auf Version 3.4.1 anführte.

"Bei einer normalen Amendment-Abstimmung wäre der Fix wochenlang öffentlich gewesen, bevor er in Kraft trat, was die Sicherheit des Netzwerks riskiert hätte", sagten die XRPL-Entwickler in einem X-Post am Sonntag.

Der beschleunigte Fix hat Fragen zum Grad der Dezentralisierung im XRP Ledger aufgeworfen. Auf seiner Website beschreibt sich XRPL als vollständig dezentralisierte, öffentliche Blockchain – eine Charakterisierung, die für Argumente im Zentrum stand, dass sein nativer Token XRP nicht als Wertpapier eingestuft werden sollte. Diese Argumente haben regulatorisches Gewicht: Die US-Börsenaufsicht SEC verklagte Ripple im Dezember 2020 wegen angeblich nicht registrierter Wertpapierangeboten von XRP, und der Grad der Dezentralisierung von XRP war in diesem Verfahren ein wiederkehrendes Argument.

Sicherheitsfix sorgte für "viele Fragen"

Justin Bons, Gründer von Cyber Capital, erklärte am Donnerstag, dass die Vermarktung von XRP gegenüber Privatanlegern als dezentralisiert einem "glatten Betrug" gleichkomme. Er argumentierte, dass der Notfall-Release vom 25. September ausschließlich als Binärdateien ausgeliefert wurde, den Quellcode vorübergehend zurückhielt und Betreiber zum Upgrade drängte.

Die XRPL Foundation erklärte jedoch, die Entscheidung, den standardigen Amendment-Prozess zu überspringen, sei gemeinsam von der Foundation, RippleX, den Kernentwicklern und den Validatoren nach Bewertung des Schweregrads des Bugs getroffen worden.

"Keine einzelne Partei konnte diese Entscheidung allein treffen. Jeder Validator und Node-Betreiber wählt selbst, welche Software er ausführt, und 3.4.1 wurde erst durch eine normale Amendment-Abstimmung mit mehr als 80 % Validator-Unterstützung über zwei Wochen verpflichtend. Protokolländerungen laufen weiterhin über Amendments", sagte die Foundation.

Auch XRP Kuwait, ein unabhängiger Validator-Betreiber, wies die Behauptung zurück, dass die koordinierten Upgrades auf eine zentralisierte Kontrolle hindeuteten.

"Wir stimmen der Behauptung nicht zu, dass die Koordinierung eines Updates durch Betreiber an sich ein Beweis für zentralisierte Kontrolle ist", hieß es in einem X-Post. "Koordination ist nicht dasselbe wie Kontrolle. Unabhängige Betreiber können eine Situation einschätzen, miteinander kommunizieren und zur selben Schlussfolgerung gelangen, ohne ihre Unabhängigkeit aufzugeben."

Bug hätte unbegrenzt XRP erzeugen können

Laut dem Vulnerability-Disclosure-Bericht des Projekts handelte es sich bei dem Bug um einen Integer-Overflow in der Payment-Engine des XRP Ledger, der seit 2015 bestand.

XRP-Guthaben werden als 64-Bit-Integer mit einem festen Maximum gespeichert. Wenn eine Summe dieses Maximum überschritt, lief die Berechnung auf eine kleinere Zahl über, anstatt fehlschlagen.

Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er hunderte speziell bepreiste Angebote erstellt, die jeweils einen sehr großen XRP-Betrag verlangen, und dann eine einzige Zahlung sendet, die alle konsumiert. Die Engine würde jedem Angebotseigentümer den vollen Betrag gutschreiben, dem Käufer jedoch nur den winzigen überlaufenen Gesamtbetrag berechnen – die Differenz würde als neu geschaffenes, ausgebbares XRP entstehen.

Der Angriff erforderte absichtlich konstruierte Angebote und konnte durch normale Handelsaktivität nicht ausgelöst werden, heißt es in dem Bericht. Die Entwickler erklärten, sie hätten keine Hinweise darauf gefunden, dass das Problem jemals in einem öffentlichen Netzwerk ausgenutzt wurde.

Wie eine Schwachstelle in einer der Kernkomponenten des Ledgers rund ein Jahrzehnt unentdeckt bleiben konnte, bleibt eine offene Frage in der Debatte, die die Offenlegung ausgelöst hat.