Der XRP Ledger (XRPL) ist nur knapp an einer potenziell verheerenden Sicherheitskrise vorbeigeschrammt. Eine jetzt öffentlich gemachte Schwachstelle hätte es Angreifern ermöglicht, mit einer einzigen manipulierten Transaktion rund 18,45 Billionen XRP aus dem Nichts zu erzeugen.
Das entspricht etwa dem 184-Fachen der ursprünglich vorgesehenen Gesamtmenge von 100 Milliarden XRP. Besonders brisant: Der Fehler steckte bereits seit 2015 im Code und blieb rund elf Jahre unentdeckt.
Die gute Nachricht für XRP-Anleger: Die kritische Sicherheitslücke wurde bereits am 25. September 2026 mit der Softwareversion xrpld 3.4.1 geschlossen. Erst am 9. Oktober veröffentlichten die Entwickler die technischen Hintergründe. Nach Angaben des XRP-Ledger-Teams gibt es keine Hinweise darauf, dass Angreifer die Schwachstelle jemals in einem öffentlichen Netzwerk ausgenutzt haben.
Wie ein einziger Fehler das XRP-Angebot hätte zerstören können
Entdeckt wurde die Schwachstelle von der Sicherheitsfirma Veria Labs um den Forscher Cayden Liao. Das Team setzte einen KI-gestützten Sicherheitsagenten ein, der zwei miteinander verbundene Programmierfehler im Zahlungssystem des XRP Ledger identifizierte.
Das Problem lag in der Berechnung größerer Zahlungsbeträge. Wenn eine Transaktion zahlreiche Angebote aus dem integrierten Handelsbuch gleichzeitig verarbeitete, konnte eine interne Rechenvariable ihren maximal zulässigen Wert überschreiten.
Statt die Transaktion abzubrechen, sprang die Berechnung auf einen kleinen Betrag zurück. Dadurch wäre es möglich gewesen, dass der XRP Ledger zahlreiche Konten mit enormen XRP-Beträgen gutschreibt, obwohl dem zahlenden Konto nur ein Bruchteil dieser Summe belastet wird.
Noch gefährlicher war ein zweiter Fehler: Auch die Sicherheitsprüfung, die eine unerlaubte Erzeugung neuer XRP verhindern sollte, war für denselben Zahlenüberlauf anfällig. Damit hätte eine manipulierte Transaktion beide Schutzmechanismen umgehen können.
Im erfolgreichen Proof-of-Concept wurden 256 speziell vorbereitete Handelsangebote verwendet. Das Ergebnis waren rechnerisch rund 18,45 Billionen zusätzliche XRP, verteilt auf verschiedene Konten. Diese XRP wären laut den technischen Tests anschließend tatsächlich übertragbar und handelbar gewesen.
Ein Angreifer hätte dafür weder die Kontrolle über Validatoren noch einen besonders hohen eigenen XRP-Bestand benötigt.
Warum die Entdeckung für XRP so gefährlich war
XRP unterscheidet sich bei seiner Geldmenge grundlegend von Kryptowährungen, bei denen laufend neue Coins entstehen. Die ursprünglichen 100 Milliarden XRP wurden bei der Einrichtung des Netzwerks geschaffen. Eine reguläre Möglichkeit, zusätzliche native XRP zu prägen, existiert nicht.
Wären tatsächlich Billionen neuer XRP entstanden und anschließend auf Handelsplattformen gelangt, hätte das massive Folgen für das Vertrauen in das Netzwerk haben können. Das Problem wäre nicht allein die zusätzliche Menge gewesen. Ein solcher Angriff hätte auch die Glaubwürdigkeit einer der wichtigsten technischen Grundlagen von XRP infrage gestellt.
Ein massiver Verkaufsdruck, erhebliche Kursverluste und mögliche Schwierigkeiten bei der Abwicklung von Handelsgeschäften wären denkbare Folgen gewesen. Wie stark der tatsächliche Marktschaden ausgefallen wäre, lässt sich allerdings nicht seriös beziffern. Die zusätzlichen Token hätten keineswegs vollständig zu den damaligen Marktpreisen verkauft werden können.
Veria Labs erhielt am 8. Oktober die maximale Prämie von 250.000 US-Dollar aus dem Bug-Bounty-Programm. Besonders interessant ist dabei die Rolle künstlicher Intelligenz. Nach Angaben des Unternehmens fand der eingesetzte KI-Agent die zusammenwirkenden Schwachstellen und entwickelte einen funktionierenden Angriffstest auf einem lokalen Netzwerk.
Notfall-Update schützt XRP: Jetzt steht das Vertrauen im Mittelpunkt
Nach der Meldung am 22. September reagierten die XRPL-Entwickler schnell. Bereits einen Tag später wurde die Korrektur in den Code integriert. Am 25. September erschien schließlich die abgesicherte Version xrpld 3.4.1.
Mehr als 80 Prozent der Validatoren auf der standardmäßigen vertrauenswürdigen Validatorliste hatten noch am Veröffentlichungstag aktualisiert. Wegen der kritischen Gefahr wurde die Korrektur unmittelbar mit dem Softwareupdate wirksam, ohne das übliche mehrwöchige Abstimmungsverfahren abzuwarten.
Die überarbeitete Software verhindert nun den problematischen Zahlenüberlauf. Zusätzlich wurde die Prüfung der XRP-Gesamtbilanz technisch verstärkt, um vergleichbare Fehler künftig erkennen zu können.
Investieren?
XRP kaufen | XRP mit PayPal kaufen
