• Die XRP Ledger Foundation meldet, dass eine kritische Schwachstelle in einem noch nicht aktivierten XRPL-Upgrade behoben wurde.
  • Laut XRPLF war die Änderung zwar bereits im Abstimmungsprozess, aber nicht im Mainnet aktiv, weshalb keine Nutzergelder gefährdet waren.

Die XRP Ledger Foundation (XRPLF) hat bestätigt, eine kritische Sicherheitslücke im XRP Ledger (XRPL) geschlossen zu haben. Betroffen war eine geplante Änderung am Protokoll, die sich noch im Abstimmungsprozess befand und zu diesem Zeitpunkt nicht im Mainnet aktiviert war.

Fehler in der Signaturprüfung, Patch vor Aktivierung

Nach Angaben der Foundation wurde der Bug am 19. Februar identifiziert. Der Hinweis kam von Pranamya Keshkamat, Security Engineer beim Cybersecurity-Unternehmen Cantina, gemeinsam mit einem Cantina-gestützten AI-Sicherheitsbot. Die XRPLF spricht von einem „kritischen Logikfehler“ in der Signatur-Validierung.

Konkret ging es um einen Codepfad innerhalb einer sogenannten „batch amendment“ zur Signaturprüfung. Ein Angreifer hätte demnach Transaktionen im Namen eines Opfers ausführen können, ohne Zugriff auf dessen Private Keys zu haben.

Das schließt, so wie es beschrieben wird, auch das Leerräumen von Konten ein. Solche Signatur-Bypässe sind selten, aber wenn sie auftreten, sind sie in öffentlichen Netzwerken meist der Worst Case, weil die Besitzlogik der Assets an der falschen Stelle ausgehebelt wird.

Abstimmung lief, Mainnet blieb unverändert

Die XRPLF betont, dass die betreffende Änderung zwar bereits in der Voting-Phase war, jedoch noch nicht auf dem Mainnet aktiv geschaltet wurde. „No funds were at risk“, so die Foundation.

Das ist die zentrale Einordnung, denn ein Bug in einem noch nicht aktivierten Amendment kann gravierend sein, ohne dass reale Schäden entstehen. Es hängt schlicht daran, ob Validatoren das Feature bereits erzwingen.

Wie schnell der Patch ausgerollt wurde und welche Versionen genau betroffen waren, hat die Foundation in ihrem Statement nicht weiter ausformuliert. Klar ist: Der Fix erfolgte, bevor eine Aktivierung im Mainnet stattfinden konnte.