Der XRP Ledger hat eine kritische Sicherheitsschwachstelle behoben, die einem Angreifer ermöglicht hätte, bis zu 18 Billionen XRP zu erschaffen – eine Summe weit über der festen Maximalmenge des Netzwerks. Der Sicherheitsforscher Cayden Liao, der den jahrealten Bug entdeckte, erhielt eine Prämie von 250.000 US-Dollar, und Entwickler von RippleX und der XRP Ledger Foundation sicherten das Netzwerk, bevor sie die Schwachstelle in einem offiziellen Offenlegungsbericht öffentlich machten.

Overflow-Bug bedrohte die feste XRP-Menge

Die Schwachstelle befand sich in der Payment-Engine des Ledgers und war ein Overflow-Bug – eine häufige Klasse von Softwarefehlern, bei denen eine Berechnung den Maximalwert ihres Datenfelds überschreitet und unbeabsichtigte Ergebnisse erzeugt. Nach Angaben von Liao hätte eine speziell konstruierte Transaktion ausgebbares XRP über die feste Höchstmenge hinaus erzeugen und die finanzielle Integrität des Netzwerks gefährden können.

Der XRP Ledger startete 2012 mit einer Obergrenze von 100 Milliarden XRP. Anders als viele andere Kryptowährungen kann XRP im Netzwerk nicht gemined oder gestaket werden, und bei jeder Transaktion werden kleine Beträge dauerhaft als Gebühren vernichtet – ein Mechanismus, der die Menge des im Umlauf befindlichen XRP langsam reduziert. Der kürzlich aufgedeckte Fehler hätte diese Mengenbeschränkung aushebeln können.

Liao sagte, sein Team habe einen Proof of Concept entwickelt, der durch eine einzige Transaktion approximately 18 Billionen XRP erzeugen konnte – rund das 184-Fache der anfänglichen Menge des Netzwerks. Da XRP eine Marktkapitalisierung von rund 94 Milliarden US-Dollar aufweist, hätte ein erfolgreicher Exploit das Vertrauen in den Asset und den breiteren Markt beschädigen können. Entwickler erklärten jedoch, dass kein Angreifer entdeckt wurde, der die Schwachstelle in öffentlichen Netzwerken ausgenutzt hat.

Notfall-Patch und koordinierte Offenlegung

Die Schwachstelle wurde am 22. September 2026 über das XRPL-Bug-Bounty-Programm gemeldet. Die Entwickler veröffentlichten am 25. September einen Patch in xrpld Version 3.4.1, und der Offenlegungsbericht besagt, dass mehr als 80 % der Standard-Validatoren ihre Software noch am selben Tag aktualisierten.

Bemerkenswert ist, dass die Entwickler die übliche zweiwöchige Validator-Abstimmung über Amendments ausließen und stattdessen einen Notfallprozess verfolgten, der es ihnen ermöglichte, die Bedrohung zu beseitigen, ohne technische Details öffentlich zu machen. Dieses Vorgehen entspricht der in der Softwarebranche üblichen Praxis der koordinierten Offenlegung, bei der Korrekturen ausgeliefert und bereitgestellt werden, bevor Details veröffentlicht werden, wodurch sich das Zeitfenster verkürzt, in dem potenzielle Angreifer die Informationen ausnutzen könnten. Die koordinierte Offenlegung folgte am 9. Oktober, nachdem das Netzwerk gesichert war. Liao machte den Fund und die Prämie in einem Beitrag auf X bekannt.

Der Vorfall zeigte auch, dass selbst umfassend überprüfte Software weiterhin ernste Schwachstellen enthalten kann. Der fehlerhafte Code stammte aus dem Jahr 2015, und der Exploit beruhte auf der Kombination von zwei Bugs, die in früheren Prüfungen einzeln jeweils weniger bedrohlich erschienen mögen – ein Muster, das aus der Sicherheitsforschung bekannt ist, bei dem sich einzeln harmlos wirkende Fehler in Kombination verstärken können. Lias Team erhielt die Höchstprämie des Programms von 250.000 US-Dollar; der Forscher nannte den Fund einen „ungewöhnlich bedeutsamen Sicherheitsfund“. Der beanspruchte Proof of Concept war jedoch eine Angriffsdemonstration und kein Exploit, der tatsächlichen Schaden anrichtete.

Keine Hinweise auf Ausnutzung

In den vergangenen Jahren war der XRP Ledger Gegenstand zahlreicher Audits und Sicherheitsprüfungen, und der Offenlegungsbericht weist darauf hin, dass das Netzwerk mehr als 1 Million US-Dollar an Bug-Bounties ausgezahlt hat. Solche Programme ermutigen Forscher, Schwachstellen verantwortungsvoll zu melden, anstatt sie Angreifern zur Ausnutzung zu überlassen – ein Anreizmodell, das heute in der gesamten Blockchain-Branche verbreitet ist.

Der Vorfall erinnert an die Bedeutung zeitnaher Software-Updates in Blockchain-Netzwerken. Validatoren sind entscheidend, da ihre Software den Betrieb und die Sicherheit des Ledgers gewährleisten, und zeitnahe Upgrades beim Auftreten kritischer Schwachstellen können die Exposition minimieren. Die Adoption des Patches vom 25. September durch mehr als 80 % der Standard-Validatoren bereits am ersten Tag zeigte diese Dynamik in der Praxis.

Trotz des potenziellen Schweregrads des Exploits gab es keine Berichte über unautorisierte XRP-Erzeugung, und die Entwickler fanden keine Hinweise darauf, dass Nutzer in öffentlichen Netzwerken durch die Schwachstelle Gelder verloren haben. Eine große theoretische Bedrohung wurde somit ohne jeden Vorfall im öffentlichen Netzwerk beseitigt.