Eine schwerwiegende Sicherheitslücke im XRP Ledger hätte es Angreifern ermöglichen können, unbegrenzt neue XRP zu erzeugen und anschließend zu verkaufen. Wie aus einem am Freitag veröffentlichten Sicherheitsbericht hervorgeht, bestand die Schwachstelle vermutlich bereits seit 2015 und blieb damit rund elf Jahre unentdeckt.
Entdeckt wurde der Fehler durch den Sicherheitsforscher Cayden Liao und Veria AI, die ihre Erkenntnisse am 22. September über das Bug Bounty-Programm des XRP Ledgers meldeten. RippleX bestätigte die Schwachstelle anschließend durch eigene Tests und stufte sie als kritisch ein. Hinweise darauf, dass Angreifer den Fehler tatsächlich ausgenutzt haben, gibt es nach Angaben der Entwickler bislang nicht.
XRP Ledger erhält ungewöhnliches Notfall-Update
Der Fehler steckte in der Zahlungsabwicklung des Netzwerks und hätte sich über den integrierten Handelsplatz ausnutzen lassen. Dafür hätte ein Angreifer mehrere Hundert Konten eröffnen und über diese ungewöhnlich hohe XRP-Beträge im Tausch gegen geringe Mengen anderer Token anbieten müssen. Mit einer einzigen gezielt vorbereiteten Zahlung wäre es anschließend möglich gewesen, sämtliche Angebote abzuwickeln und dabei neue XRP zu erzeugen, ohne den entsprechenden Gegenwert aufzubringen.
Verantwortlich dafür war ein Fehler bei der Berechnung der Zahlungsbeträge, durch den ein interner Zähler seine maximale Grenze überschreiten konnte. Die Verkäufer hätten ihre vollständigen XRP-Beträge erhalten, obwohl dem Käufer nur ein Bruchteil davon berechnet worden wäre. Selbst eine eingebaute Sicherheitskontrolle hätte den Vorgang nicht erkannt, da sie denselben fehlerhaften Berechnungsmechanismus verwendete. Die Entwickler konnten nachweisen, dass sich die auf diese Weise erzeugten XRP anschließend tatsächlich ausgeben ließen.
Um einen möglichen Angriff zu verhindern, veröffentlichte RippleX bereits am 25. September die Softwareversion 3.4.1. Anders als bei gewöhnlichen Änderungen am XRP Ledger wurde die Fehlerbehebung unmittelbar mit der Installation aktiviert, ohne das übliche Abstimmungsverfahren abzuwarten. Normalerweise müssen mehr als 80 Prozent der vertrauenswürdigen Validatoren eine Änderung über einen Zeitraum von zwei Wochen unterstützen. Nach Angaben von RippleX wurde erstmals seit Einführung dieses Verfahrens vor mehr als zehn Jahren bewusst auf eine solche Abstimmung verzichtet.
Die Entwickler begründeten den ungewöhnlichen Schritt mit dem erheblichen Sicherheitsrisiko. Eine reguläre Abstimmung hätte die Schwachstelle über Wochen offengelegt, bevor die Fehlerbehebung im gesamten Netzwerk wirksam geworden wäre. RippleX betont, dass künftige Änderungen weiterhin regulär abgestimmt werden sollen und derartige Ausnahmen nur bei besonders schwerwiegenden Sicherheitsproblemen infrage kommen.
