coindesk.com
Ein Fehler, der es einem Angreifer ermöglicht hätte, neues $XRP ($XRP) aus dem Nichts zu erzeugen, existierte mehr als ein Jahrzehnt lang im $XRP Ledger, ohne dass es jemand bemerkte, da normale Benutzeraktivitäten niemals nahe genug daran kamen, ihn auszulösen, laut der $XRP Ledger Foundation.
Der 11 Jahre alte Fehler war von Bedeutung, da er die zentrale Regel bedrohte, auf die $XRP-Inhaber vertrauen: dass die Gesamtmenge niemals die bei der Einführung der Blockchain im Jahr 2012 geschaffenen 100 Milliarden Münzen überschreiten darf. Er wurde am 22. September entdecktvon dem Forscher Cayden Liao und Veria AI erstellt und intern berichtet.
Laut RippleX, das die Lösung bereitstellte, wurde kein Schaden angerichtet. Es wurde kein neues $XRP geschaffen und etwa 99,986 Milliarden $XRP befinden sich heute noch im Umlauf, so die Stiftung.
Das $XRP Ledger (XRPL) ist eine Open-Source, dezentralisierte Layer-1-Blockchain. Sein nativer Token, $XRP, wurde so konzipiert, dass keine neuen Tokens jemals geprägt werden können. Die Münze wird hauptsächlich verwendet, um Transaktionsgebühren zu bezahlen und Währungshandel auf der integrierten, dezentralen Börse (DEX) des Ledgers zu ermöglichen.
Der Fehler, von dem angenommen wird, dass er seit 2015 besteht, bot zumindest theoretisch eine Möglichkeit, dies zu umgehen.
So hätte es funktionieren können
Der Fehler resultierte aus einer Schwachstelle, die als „Integer-Überlauf“ bekannt ist und ähnlich wie der Punktestand eines alten Arcade-Spiels bei Erreichen des Maximums auf null zurückgesetzt wird.
Im Fall des $XRP Ledger bedeutete der Fehler, dass sobald die Größe einer Transaktion die maximal zulässige numerische Grenze des Systems überschritt, der Wert auf eine sehr kleine Zahl zurückgesetzt wurde. Dadurch wurden die üblichen Fondsprüfungen umgangen, Verkäufer erhielten ihre vollständigen $XRP-Beträge gutgeschrieben, während Käufer kaum belastet wurden, was effektiv die Differenz aus dem Nichts schuf und die gesamte $XRP-Versorgung künstlich erhöhte.
Ein Angreifer hätte gefälschte Konten einrichten können, um gefälschte Token-Verkäufe im Wert von astronomischen Mengen an $XRP zu posten. Dann hätte der Angreifer, agierend als Käufer, in $XRP bezahlt und alle Token auf einmal gekauft. Das Ledger hätte die Verkäuferkonten mit Milliarden gültiger $XRP gutgeschrieben und, überwältigt von der schieren Menge an $XRP, nur einen Bruchteil eines Cents als Gesamtkosten für den Käufer registriert.
Durch das Umgehen der standardmäßigen Fondsprüfungen würde das System effektiv die Differenz aus dem Nichts generieren, was es dem Angreifer ermöglichen würde, mit Milliarden neuer $XRP davonzulaufen, um diese auf externen Börsen zu liquidieren.
Warum blieb es unbemerkt?
Der Fehler blieb hauptsächlich unbemerkt, da er eine massive Aktion in großem Umfang erforderte, um ausgelöst zu werden, erklärte die $XRP Foundation in einer am Montag veröffentlichten Erläuterung.
„Keine normale Zahlung kommt auch nur annähernd in die Nähe, es auszulösen. Es bedurfte hunderter bewusst konstruierter Operationen“, so die Aussage.
