XRP Ledger behebt kritischen Überlauf, der neue XRP erzeugen konnte

Die Entwickler des XRP Ledger haben eine kritische Schwachstelle in der Zahlungslogik offengelegt und behoben, durch die aus dem Nichts nutzbare XRP entstehen konnten. Der Patch ist in xrpld 3.4.1 enthalten, das am 25. September 2026 veröffentlicht wurde. Laut dem Bericht vom 9. Oktober gibt es keine Hinweise auf eine Ausnutzung in einem öffentlichen Netzwerk.

Wie die Schwachstelle funktionieren konnte

Ursache war eine ungeprüfte Addition von 64-Bit-Ganzzahlen. Eine speziell konstruierte Zahlung konnte Hunderte ungewöhnliche Orderbuchangebote aufnehmen. Jeder XRP-Betrag war einzeln gültig, die Summe überschritt jedoch die Ganzzahlgrenze und sprang auf einen kleinen Wert zurück.

Die Anbieter erhielten ihre vollständigen Beträge, während dem Käufer nur die kleine Summe nach dem Überlauf berechnet wurde. Die Differenz wurde zu neuen, nutzbaren XRP. Nutzer können den verifizierten XRP/USDT-Spotmarkt und den XRPUSDT-Perpetual-Markt auf OrangeX.com verfolgen.

Warum die Schutzprüfungen versagten

XRPL besaß bereits eine Invariante, die das Erzeugen von XRP verhindern sollte. Sie summierte Saldoänderungen jedoch mit einem ähnlichen 64-Bit-Zähler, lief auf dieselbe Weise über und sah nur eine normale Gebühr. Eine Prüfung pro Konto griff ebenfalls nicht, wenn die neuen XRP auf Hunderte Konten verteilt wurden.

Die betroffene Logik reicht bis zum 2015 geschriebenen Zahlungsmodul zurück. Normaler Handel konnte den Pfad nicht versehentlich auslösen: Er erforderte Hunderte unrealistisch bepreiste Angebote und eine speziell erstellte Zahlung, die alle gleichzeitig aufnahm.

Änderungen in xrpld 3.4.1

Die neue Version prüft beim Summieren von Angeboten und beim Zusammenführen mehrerer Zahlungswege auf Überlauf. Würde die Grenze überschritten, schlägt der Pfad sicher fehl und es entstehen keine XRP. Die Invariante nutzt nun einen breiteren Zähler; weitere Saldo-Aggregationen wurden vorsorglich gehärtet.

Der Patch wird direkt mit dem Server-Upgrade wirksam und wartete nicht auf das übliche Amendment-Verfahren. Die Entwickler begründeten dies mit der Schwere: Eine Veröffentlichung bei verzögerter Aktivierung hätte den Angriff wochenlang sichtbar und nutzbar gelassen. Am 25. September liefen mehr als 80 % der Validatoren auf der voreingestellten Vertrauensliste mit der geschützten Version.

Betreiber müssen xrpld 3.4.1 oder neuer einsetzen. Weitere Meldungen stehen in den Krypto-News von OrangeX.com; offizielle Sicherheitsressourcen bietet das OrangeX.com Trust Center.

OrangeX.com Analysis

Die unmittelbare Schlussfolgerung: Der veröffentlichte Pfad zur XRP-Erzeugung ist geschlossen, und eine Ausnutzung wurde nicht entdeckt. Der Vorfall zeigt, wie dieselbe arithmetische Annahme sowohl Zahlungslogik als auch Sicherheitsinvariante aushebeln kann. Der breitere Zähler schafft eine unabhängige Schutzschicht.

Die verbleibende Unsicherheit betrifft die Beweislage. Keine Hinweise zu finden beweist nicht absolut, dass es nie geschah. Das künstliche Transaktionsmuster sollte historische Prüfungen jedoch erleichtern. Weitere Audits und die Aktualisierung der Betreiber bleiben zu beobachten. Diese Analyse ist keine Prognose für den XRP-Kurs.