Ein KI-Sicherheitssystem hat eine Schwachstelle im XRP Ledger aufgedeckt, durch die ein Angreifer über eine einzige Zahlungstransaktion rund 18 Billionen XRP hätte erzeugen können. Das entspricht etwa dem 180-Fachen des ursprünglichen Angebots von 100 Milliarden. Der Fehler bedrohte die Integrität des XRP-Modells mit begrenztem Angebot und die gemeldete Marktkapitalisierung von 94 Milliarden US-Dollar. RippleX fand jedoch keine Hinweise auf eine Ausnutzung und bestätigte, dass keine unautorisierten XRP erzeugt wurden.
Warum das wichtig ist
Die Schwachstelle entstand durch das Zusammenspiel zweier Fehler im Zahlungs- und Versorgungsschutzcode des XRPL. Eine gezielt konstruierte Gruppe von Handelsangeboten konnte einen Ganzzahlüberlauf auslösen. Dadurch hätte ein Verkäufer die vollständige XRP-Zahlung erhalten können, während dem Käufer nur ein Bruchteil belastet wurde. Dieselbe fehlerhafte Berechnung konnte verhindern, dass der Versorgungsschutz die neu erzeugten XRP erkannte.
Der Code der Zahlungsengine stammte aus dem Jahr 2015, während der betroffene Schutzmechanismus 2017 eingeführt wurde. Das Problem überstand mehr als ein Dutzend Audits und Sicherheitswettbewerbe, darunter einen mit einem Preisgeld von 550.000 US-Dollar, bevor das KI-System von Veria Labs die Schwachstelle in einem lokalen Netzwerk identifizierte und reproduzierte. Veria erhielt eine Prämie von 250.000 US-Dollar.
Auswirkungen auf den Markt
Die Entwickler schlossen die Schwachstelle drei Tage nach ihrer Meldung am 22. September und machten sie am 9. Oktober öffentlich. RippleX, die XRP Ledger Foundation und die Validatoren spielten Version 3.4.1 außerhalb des üblichen Änderungsprozesses des XRPL ein. Dieser erfordert mehr als 80 Prozent Zustimmung der Validatoren über zwei aufeinanderfolgende Wochen.
Der Notfallansatz verringerte das Risiko, dass gefälschte XRP in Umlauf gelangen. Zugleich entstand vorübergehend ein Konsensrisiko zwischen aktualisierten und veralteten Servern. Bis zum 25. September hatten mehr als 80 Prozent der vertrauenswürdigen Validatoren das Upgrade durchgeführt. RippleX plant nun umfangreichere KI-gestützte Tests, strengere Prüfungen durch Angreiferteams und eine formalere Verifikation älterer XRPL-Komponenten.
Häufig gestellte Fragen
-
Wie viele XRP hätte die Schwachstelle erzeugen können?
Der Fehler hätte die Erzeugung von rund 18 Billionen XRP über eine einzige Zahlungstransaktion ermöglicht. Das entspricht etwa dem 180-Fachen des ursprünglichen Angebots von 100 Milliarden.
-
Wurden unautorisierte XRP erzeugt oder gingen XRP verloren?
Nein. RippleX bestätigte, dass keine unautorisierten XRP erzeugt wurden und keine Gelder verloren gingen. Die Ermittler fanden zudem keine Hinweise auf eine Ausnutzung in öffentlichen Netzwerken.
-
Wie funktionierte die Schwachstelle im XRPL?
Ein Ganzzahlüberlauf konnte die Zahlung des Käufers falsch berechnen, während ein zweiter Fehler verhindern konnte, dass der Versorgungsschutz die neu erzeugten XRP erkannte.
-
Warum umging das XRPL seinen üblichen Änderungsprozess?
Die Entwickler kamen zu dem Schluss, dass das Warten auf die übliche Zustimmung der Validatoren die Schwachstelle offenlassen und Angreifern ermöglichen könnte, sie vor Aktivierung des Fixes auszunutzen.
-
Welche Änderungen nimmt RippleX nach dem Sicherheitsvorfall vor?
RippleX will die KI-gestützte Suche nach Schwachstellen ausweiten, adversarielle Tests verstärken, die formale Verifikation verbessern und behobene Probleme erneut gegen Release-Kandidaten testen.
CoinDesk
CZ Binance
TheBlock
Crypto News