Die Entwickler des XRP Ledger haben einen kritischen Overflow-Bug offenbart, der einem Angreifer ermöglicht hätte, XRP aus dem Nichts zu erzeugen und dabei die harte Obergrenze des Netzwerks von 100 Milliarden Token zu überschreiten. Der Fehler betraf xrpld, die zentrale Server-Software des Ledgers, in den Versionen 3.4.0 und früher. Er wurde im September stillschweigend gepatcht und am 9. Oktober 2026 öffentlich gemacht. Die Ermittler fanden keine Hinweise darauf, dass er jemals in einem öffentlichen Netzwerk ausgenutzt wurde.

Wie der Bug funktionierte

Die Schwachstelle lag darin, wie xrpld Zahlungsbeträge zusammenrechnete. Wenn eine einzelne Zahlung Liquidität aus mehreren Angeboten im dezentralen Orderbuch zog, verwendete die Software einen 64-Bit-Integer, um eine laufende Summe der beteiligten XRP zu führen. Wuchs diese Summe über die größte Zahl hinaus, die der Integer speichern konnte, lief er über auf einen Wert weit unter der Realität. Solche Overflow-Fehler sind eine klassische Kategorie von Softwarefehlern – Arithmetik, die die feste Größe der Variablen, die das Ergebnis speichert, überschreitet – und gehören zu den ersten Gefahren, nach denen Prüfer in Code suchen, der Geld bewegt.

Ein Angreifer hätte diese Lücke ausnutzen können, um XRP auszugeben, das nicht existierte. Da die aufgeblähten Guthaben über viele Konten verteilt waren, versagten die bestehenden Sicherheitsprüfungen des Ledgers bei der Erkenn der Diskrepanz – sodass die Bücher ausgeglichen erschienen, während die tatsächliche Menge stillschweigend explodierte.

Die Kosten für einen solchen Angriff waren bemerkenswert gering. Laut der Offenlegung erforderte der Exploit speziell gestaltete Angebote von hunderten Konten und kostete nur wenige hundert XRP an Reserven und Gebühren, von denen der Großteil wieder einbringlich gewesen wäre. Die Menge an XRP, die in einer einzigen Transaktion hätte erzeugt werden können, könnte die gesamte Gesamtmenge des Tokens überschritten haben.

Eine stille Behebung, dann eine öffentliche Offenlegung

Die Schwachstelle wurde am 22. September 2026 vom Forscher Cayden Liao über das XRPL Bug Bounty Programm gemeldet. RippleX, die Entwicklersparte von Ripple, bestätigte das Problem und reproduzierte den Angriff auf einem eigenständigen Server, wobei verifiziert wurde, dass die überschüssigen XRP in Folgetransaktionen ausgegeben werden konnten.

Drei Tage nach der Meldung, am 25. September 2026, erschien ein Notfall-Release: xrpld 3.4.1. Die Behebung umging dabei auch den üblichen Amendment-Prozess des Ledgers, unter dem Änderungen an den Netzwerkregeln normalerweise erst nach einem Validator-Abstimmungsverfahren in Kraft treten. Dieser Patch wurde stattdessen sofort ausgerollt.

Die öffentliche Offenlegung folgte am 9. Oktober, rund zwei Wochen nachdem die gepatchte Software erschienen war. Das Team meldete keinen Verlust von Geldmitteln, keine kompromittierten Schlüssel und keine Konsensprobleme im Zusammenhang mit dem Bug. Diese Abfolge entspricht der koordinierten Schwachstellen-Offenlegung, der Standardpraxis in der Softwaresicherheit, Fixes zu veröffentlichen, bevor Details bekannt gegeben werden – wodurch Betreiber ein Zeitfenster zum Upgrade erhalten, bevor Informationen, die einen Angriff leiten könnten, öffentlich werden. Das XRPL Bug Bounty Programm, aus dem die Meldung stammte, ist Teil desselben Systems – eines, das unabhängige Forscher dafür bezahlt, Schwachstellen privat offenzulegen, statt sie selbst auszunutzen oder zu veröffentlichen.

Ein Jahrzehnt unentdeckt

Es wird angenommen, dass der Fehler existiert, seit die Payment-Engine ursprünglich gebaut wurde, etwa 2015 – das heißt, der Code verarbeitete jahrelang Zahlungen mit einem latenten Overflow im Inneren. Bugs, die das native Asset einer Chain aufblähen können, sind selten, aber nicht beispiellos: 2018 veröffentlichten die Bitcoin Core Entwickler einen Notfall-Patch für einen Fehler, der ebenfalls einem Angreifer ermöglicht hätte, Bitcoin außerhalb der Emissionsregeln des Netzwerks zu erzeugen.

Was das für XRP-Halter und das Ledger bedeutet

Für XRP-Halter ist die unmittelbare Erkenntnis beruhigend: Es gibt keine Hinweise darauf, dass der Bug je ausgenutzt wurde, und die Integrität der Token-Menge scheint intakt. Der Vorfall erinnert auch daran, dass eine harte Angebotsbegrenzung letlich durch Code durchgesetzt wird – und nur so zuverlässig ist wie dieser Code.

Die Entscheidung, den Amendment-Prozess zu umgehen, verdient jedoch Aufmerksamkeit. Ein bekannter Weg zur unbegrenzten XRP-Erzeugung ist nichts, was auf eine Governance-Abstimmung warten kann, doch Notfall-Patches, die normale Verfahren überspringen, setzen erhebliches Vertrauen in das Kernteam. In diesem Fall hing die Sicherheit des Netzwerks davon ab, dass Validatoren und Node-Betreiber schnell upgradeten.

Node-Betreiber, die noch xrpld 3.4.0 oder früher betreiben, sind die direkteste Zielgruppe dieser Nachricht. Die gepatchte Version 3.4.1 ist seit dem 25. September verfügbar, und wer nicht upgegradet hat, betreibt Software mit einem inzwischen öffentlich dokumentierten, die Angebotsbegrenzung brechenden Fehler.

Quelle: CryptoBriefing