Ein Fehler, der vermutlich seit 2015 im XRP Ledger steckte, hätte XRP aus dem Nichts erzeugen können. Er wurde behoben, Hinweise auf eine Ausnutzung gibt es nicht

Der XRP Ledger enthielt offenbar mehr als ein Jahrzehnt lang einen Fehler, der es einem Angreifer hätte ermöglichen können, XRP aus dem Nichts zu erzeugen, legten seine Entwickler am Freitag offen. Ein Bericht auf xrpl.org führt die Schwachstelle auf die 2015 geschriebene Zahlungs-Engine zurück, erklärt, sie sei im vergangenen Monat behoben worden, und es gebe keine Hinweise auf eine Ausnutzung in einem öffentlichen Netzwerk.

Das Problem lag in der Arithmetik. Wenn eine einzelne Zahlung viele Angebote an der integrierten Börse des Ledgers aufkaufte, addierte die Software die geschuldeten XRP, ohne zu prüfen, ob die Summe zu groß geworden war, um noch korrekt erfasst zu werden. Eine ausreichend große Summe lief über und wurde zu einer kleinen Zahl. Die Verkäufer wurden vollständig bezahlt, dem Käufer wurde nur der kleine Betrag belastet, und die Differenz waren neue XRP. Die Sicherheitsprüfung, die das Erzeugen von XRP erkennen sollte, stützte sich auf dieselbe fehlerhafte Summe.

Ein Angreifer hätte einige Hundert Konten benötigt, die jeweils eine winzige Menge eines Tokens gegen eine sehr große Menge XRP anboten. Die Kosten hätten laut dem Bericht einige Hundert XRP an Kontoreserven, die zurückerstattet werden, zuzüglich Transaktionsgebühren betragen.

Der Forscher Cayden Liao und Veria AI meldeten den Fehler am 22. September. Ingenieure bei RippleX, dem Entwicklerbereich von Ripple, reproduzierten ihn und stuften ihn als kritisch ein. Die Korrektur wurde am 25. September in xrpld 3.4.1 veröffentlicht und griff auf jedem Server, sobald dieser aktualisiert wurde. Mehr als 80 Prozent der Validatoren auf der Standardliste nutzten sie noch am selben Tag.

Das Angebot an XRP soll fest bei 100 Milliarden liegen, merkte CoinDesk an. Betreiber, die noch ältere Software nutzen, werden aufgefordert, sie zu aktualisieren.