Forscher haben eine sieben Jahre alte Schwachstelle in der Signaturbibliothek des XRP Ledger offengelegt. Sie hätte es einem Angreifer ermöglicht, aus nur fünf signierten Transaktionen einen Private Key zu rekonstruieren. Der Fehler lag in der XRPL-Implementierung des EdDSA-Signaturverfahrens, das zur Autorisierung von Transaktionen genutzt wird, und blieb seit 2017 in der Open-Source-Codebasis unentdeckt.
Warum es wichtig ist
Grundsätzlich ist die Schwachstelle schwerwiegend: Die Wiederherstellung eines Private Keys aus Signaturen ist der schlimmste Fall für ein Signaturverfahren, weil ein Angreifer jedes Konto hätte leeren können, dessen Besitzer fünf oder mehr Transaktionen signiert hatte. Praktisch wurde der Bug entdeckt, bevor die betroffene Bibliothek in einem Produktionsrelease ausgeliefert wurde, sodass XRPL-Nutzern direkte Verluste erspart blieben. Die Offenlegung kommt dennoch zu einem sensiblen Zeitpunkt für das Netzwerk, da Ripple und Kernentwickler XRPL institutionellen Emittenten und Pilotprojekten für tokenisiertes Bargeld vorstellen, die nachweisbare Wallet-Sicherheit verlangen.
Marktauswirkung
Der Patch schließt die Lücke geräuschlos, doch der Eindruck einer jahrealten kryptografischen Schwachstelle im zentralen Signaturcode wird von jedem Compliance-Team registriert werden, das XRPL für den Produktionseinsatz prüft. $XRP handelte nach der Nachricht weitgehend unverändert, was darauf hindeutet, dass der Markt die Offenlegung eher als Beinahe-Vorfall denn als aktiven Vorfall einstuft. Die Lehre für Institutionen: Code-Reviews kryptografischer Primitive sind kein einmaliges Ereignis, und der Open-Source-Prozess von XRPL hat den Bug vor der Auslieferung gefunden. Genau dieser Teil der Geschichte stützt den institutionellen Einsatzfall.
Häufig gestellte Fragen
-
Was war die Schwachstelle im XRP Ledger?
Eine sieben Jahre alte Schwachstelle in der EdDSA-Signaturbibliothek von XRPL hätte es einem Angreifer ermöglicht, aus nur fünf signierten Transaktionen einen Private Key zu rekonstruieren, erklärten Forscher.
-
Wurden tatsächlich XRP-Wallets geleert?
Nein. Der Bug wurde entdeckt, bevor die betroffene Bibliothek in einem Produktionsrelease ausgeliefert wurde, daher waren Nutzer des XRP Ledger keinen direkten Verlusten ausgesetzt.
-
Wie lange war die Schwachstelle in der Codebasis?
Der Fehler blieb laut Forschern seit 2017 in der Open-Source-Codebasis des XRP Ledger unentdeckt.
-
Wie reagierte der XRP-Markt auf die Offenlegung?
$XRP handelte nach der Nachricht weitgehend unverändert, was darauf hindeutet, dass der Markt die Offenlegung eher als Beinahe-Vorfall denn als aktiven Sicherheitsvorfall wertete.
-
Warum ist das für die institutionelle Nutzung von XRPL wichtig?
Die Offenlegung kommt, während Ripple XRPL institutionellen Emittenten und Pilotprojekten für tokenisiertes Bargeld anbietet. Compliance-Teams werden jede historische kryptografische Schwachstelle im zentralen Signaturcode genau prüfen.
TheBlock
CoinDesk
WuBlockchain