Ein zehn Jahre alter Integer-Überlauf in der Zahlungs-Engine des XRP Ledgers hätte es einem Angreifer ermöglichen können, weit über die Obergrenze von 100 Milliarden XRP hinaus ausgebbare Token zu erzeugen.
Der Fehler wurde am 22. September vom KI-Agenten von Veria Labs gemeldet und drei Tage später in einer Notfallversion von xrpld 3.4.1 behoben, die die übliche Abstimmung über Änderungen umging.
Entwickler fanden in keinem öffentlichen Netzwerk Hinweise auf eine Ausnutzung der Schwachstelle; Veria erhielt die maximale Prämie von 250.000 US-Dollar.
Entwickler des XRP Ledgers gaben am 9. Oktober bekannt, dass ein Integer-Überlauf in der Zahlungs-Engine des Netzwerks, der seit dem Schreiben des Codes im Jahr 2015 vorhanden war, es einem Angreifer ermöglicht hätte, neue XRP zu erzeugen und auszugeben und damit gegen die Regeln zur festgelegten Gesamtmenge des Ledgers zu verstoßen, wie aus dem offiziellen Bericht zur Offenlegung der Schwachstelle hervorgeht.
Der Fehler betraf die Art und Weise, wie die Engine XRP-Beträge addierte, wenn eine einzelne Zahlung zahlreiche Angebote im Orderbuch ausführte. Guthaben werden als 64-Bit-Ganzzahlen mit einem festen Höchstwert gespeichert. Überschritt die Summe diesen Grenzwert, lief sie auf einen kleinen Wert über, statt einen Fehler auszulösen. Anschließend zahlte die Engine jedem Anbieter den vollen Betrag aus, während sie dem Käufer nur die übergelaufene Summe berechnete. Die Differenz wurde so als neue, ausgebbare XRP erzeugt, heißt es in dem Bericht.
Der Angriff „konnte nicht versehentlich ausgelöst werden“: Er erforderte „Hunderte von Angeboten mit Preisen, die kein echter Händler verwenden würde, gefolgt von einer eigens dafür erstellten Zahlung, die sie alle auf einmal ausführte“, heißt es in der Offenlegung. Ingenieure von RippleX reproduzierten den Exploit noch am Tag der Meldung auf einem eigenständigen Server, bestätigten, dass die erzeugten XRP bei einer anschließenden Zahlung ausgegeben werden konnten, und stuften den Schweregrad von „hoch“ auf „kritisch“ herauf.
Das Sicherheitsunternehmen Veria Labs erklärte, sein KI-Agent habe die miteinander verketteten Schwachstellen entdeckt und einen funktionierenden Proof of Concept erstellt. Mitgründer Cayden Liao schrieb auf X, eine einzige Exploit-Transaktion hätte etwa 18 Billionen XRP erzeugen können – das 184-Fache der ursprünglichen Gesamtmenge von 100 Milliarden Token. Veria erhielt die maximale Prämie des Programms in Höhe von 250.000 US-Dollar. Laut einem Blogbeitrag des Unternehmens bezeichnete Liao sie als die höchste bekannte Auszahlung für eine Schwachstelle, die vollständig von einem KI-Agenten entdeckt wurde.
Die Fehlerbehebung wurde am 25. September mit xrpld Version 3.4.1 veröffentlicht, drei Tage nach dem Bericht vom 22. September. An diesem Tag nutzten mehr als 80 % der Validatoren der standardmäßigen Unique Node List die gepatchte Software. Zum ersten Mal seit mehr als einem Jahrzehnt übersprangen die Entwickler die übliche zweiwöchige Abstimmung über die Änderung, für die eine Zustimmung von mehr als 80 % erforderlich ist. Denn eine Veröffentlichung des Quellcodes vor der Aktivierung hätte die Schwachstelle wochenlang öffentlich und ausnutzbar gemacht, erklärte die XRP Ledger Foundation.
Die Stiftung betonte, dass keine neuen XRP erzeugt wurden. „Der Bestand an XRP war zum Start des XRP Ledgers auf 100 Milliarden festgelegt, und keine Transaktion darf weitere XRP erzeugen. Dieser Fehler ermöglichte es, diese Regel zu umgehen, und Version 3.4.1 hat ihn behoben“, schrieb @XRPLF. Da Gebühren verbrannt werden, sind noch etwa 99,986 Milliarden XRP im Umlauf. Dieselbe Veröffentlichung behandelte außerdem ein separates Problem bei der Validierung des Wrappers für Batch-Transaktionen, das am 9. Oktober durch eine reguläre Änderung aktiviert wurde.
Der Vorfall verdeutlicht sowohl die wachsende Rolle von KI bei der Entdeckung von Schwachstellen als auch die praktischen Herausforderungen beim Patchen laufender dezentraler Netzwerke, ohne neue Angriffsfenster zu schaffen. Entwickler erklärten, sie würden als Reaktion darauf formale Verifizierung, adversariales KI-Testing und Prämien für die Meldung von Schwachstellen ausbauen.
Der Beitrag „XRP Ledger behebt jahrzehntealten Fehler, durch den Billionen Token hätten erzeugt werden können“ erschien zuerst auf Cryptopress.