XRP-Ledger: Fix gegen PaymentBurn-Lücke am 4. November

Eine Lücke in einer neuen Funktion wird geschlossen

Das XRP-Ledger (XRPL) steht kurz davor, eine Schwachstelle zu beheben, die mit einer seiner neuesten Funktionen zusammenhängt. Ohne den Fix könnten Konten, die nur Token verbrennen dürfen, auch neue ausgeben. Das Problem liegt in der Delegierung von Berechtigungen. Mit ihr kann ein Konto bestimmte Befugnisse an ein anderes übertragen, ohne seine Schlüssel preiszugeben.

Eingeführt wurde die Funktion am 8. Oktober mit der Änderung „PermissionDelegationV1_1“, über die Bitcoin.com News im Oktober berichtet hatte. Eine der übertragbaren Befugnisse, „PaymentBurn“, soll es einem Beauftragten erlauben, Token zu vernichten. Die Dokumentation des XRPL zur Delegierung von Berechtigungen beschreibt das Problem so:

„Bis die Änderung fixCleanup3_4_0 aktiviert ist, wird empfohlen, die granulare Berechtigung PaymentBurn nicht zu delegieren. Vor der Korrektur kann ein Beauftragter mit der granularen Berechtigung PaymentBurn unter bestimmten Umständen auch neue fungible Token prägen (Trust-Line-Token oder MPTs).“

Andere Berechtigungen sind nicht betroffen. Der Fix ist Teil von xrpld 3.4.0, das die Versionshinweise als Bündel von Korrekturen für diese Version beschreiben. Unter anderem lehnt das Update PaymentBurn-Zahlungen ab, die über einen Saldo von null hinausgehen. Das Paket korrigiert außerdem Rückforderungen bei automatisierten Market Makern (AMM), die Buchhaltung von Vaults, die Reserven bei Treuhandzahlungen (Escrow) und den Umgang mit Signaturen. Betreiber von Knoten sollen „so bald wie möglich“ auf die neue Version wechseln.

Ein verpasster Termin

Eigentlich hätte der Patch schon aktiv sein sollen. Änderungen am XRPL treten erst in Kraft, wenn sie zwei Wochen lang ohne Unterbrechung die Unterstützung von mindestens 80 Prozent der vertrauenswürdigen Validatoren haben. Fällt die Zustimmung auch nur einmal darunter, beginnt der Countdown von vorn. Mitte Oktober war das Upgrade für den 23. Oktober angesetzt, dieser Termin verstrich. Aktuelle Daten des Änderungs-Trackers von Xrpscan zeigen, dass fixCleanup3_4_0 seine Mehrheit zurückgewonnen hat. Die Unterstützung liegt bei 33 von 35 Validatoren und damit klar über den nötigen 28.

Native Kreditvergabe verfehlt weiter die nötigen Stimmen

Andere geplante Upgrades liegen noch weiter zurück. Laut demselben Tracker kommen „LendingProtocolV1_1“ und das ursprüngliche „LendingProtocol“ auf je 19 Stimmen, „SingleAssetVault“ auf 21, alle bleiben unter der Marke von 28. Gemeinsam würden sie eine native Kreditvergabe auf das XRPL bringen, doch für keine der Änderungen läuft derzeit ein Countdown. Die Kreditpläne des Ledgers liegen damit vorerst auf Eis, obwohl Institutionen immer mehr Aktivität ins Netzwerk verlagern. So nahm Coinbase zuletzt Ripples Stablecoin RLUSD auf dem XRPL und auf weiteren Blockchains auf.

Auch in der Schweiz ist RLUSD angekommen. Die Zuger Kryptobank Amina unterstützt den Stablecoin seit Juli 2025 und war nach eigenen Angaben die erste Bank weltweit, die das tat. Verwahrung und Handel bietet sie zunächst institutionellen Kunden und professionellen Anlegern an.

Eine bewegte Zeit für die Sicherheit des XRPL

Der Fix beendet einige schwierige Wochen für die Sicherheitsbilanz des Netzwerks. Im Oktober hatten Entwickler einen seit zehn Jahren bestehenden Fehler im Ledger offengelegt, über den ein Angreifer XRP über das festgelegte Angebot hinaus hätte erzeugen können. Die Schwachstelle war im September ohne Ankündigung behoben worden, Hinweise auf eine Ausnutzung gibt es nicht.

Zudem war XRP als erstes vom jüngsten Hack bei Binance betroffen. Der Angriff richtete sich allerdings gegen die Wallets von Binance und nicht gegen das XRPL selbst.

Für gewöhnliche XRP-Inhaber ändert sich durch den Fix nichts, wohl aber für Emittenten, Börsen und Unternehmen, die Kontoberechtigungen delegieren. Sobald fixCleanup3_4_0 aktiv ist, sollte die Delegierung von PaymentBurn wieder sicher sein. Am 3. November notierte XRP vor dem Upgrade bei rund 1,25 Dollar (rund 1,12 Euro), wie Daten von Coingecko zeigen.