Ripple reagiert auf kritischen XRP-Fehler, der Gesamtmenge gefährdete

Ripple reagiert auf eine Bedrohung für das feste Angebot an XRP

Eine kritische Sicherheitslücke hätte die unbefugte Schaffung von XRP ermöglichen können, was Ripple dazu veranlasste, die Sicherheit im gesamten XRP-Ledger (XRPL) zu verstärken. J. Ayo Akinyele, Senior Director of Engineering bei RippleX, dem Geschäftsbereich von Ripple, der die Entwicklung der öffentlichen Blockchain unterstützt, erläuterte am 10. Oktober auf X die Maßnahmen und Sicherheitsprioritäten, nachdem die Schwachstelle am Vortag bekannt geworden war.

Veria AI, ein von dem Sicherheitsunternehmen Veria Labs entwickeltes System zur Erkennung von Sicherheitslücken, trug dazu bei, das Problem im Rahmen des Bug-Bounty-Programms des Netzwerks aufzudecken, das Forscher für die Meldung von Schwachstellen belohnt. Akinyele erklärte:

„Der Fehler war seit über einem Jahrzehnt im Quellcode vorhanden und hätte die Schaffung von XRP über das festgelegte Angebot hinaus ermöglicht.“

Diese potenzielle Schaffung nicht autorisierter Token bedrohte eine Obergrenze, die bei der Gründung des Netzwerks festgelegt wurde, als alle 100 Milliarden XRP geschaffen wurden. Das Transaktionssystem des XRP-Ledgers stützt sich darauf, dass Validatoren sich über die Gültigkeit und Reihenfolge von Zahlungen einigen, anstatt neue Coins zu minen. Akinyele beschrieb, dass die Entwickler den Patch gründlich getestet und schnelle Upgrades mit diesen Betreibern koordiniert hätten, bevor die Schwachstelle öffentlich bekannt gegeben wurde.

Wie der Fehler zur Schaffung nicht autorisierter XRP hätte führen können

Die Zahlungs-Engine könnte bei speziell konstruierten Handelsangeboten die geschuldeten Beträge falsch berechnen, wodurch Verkäufer mehr XRP erhalten könnten, als der Käufer bezahlt hat. Der Überlauf-Fehler der Zahlungs-Engine bestand darin, dass die arithmetische Berechnung ihre numerische Grenze überschritt und einen fälschlicherweise zu kleinen Gesamtbetrag zurückgab. Der Fix wurde am 25. September in xrpld 3.4.1 veröffentlicht, einer Version der Server-Software, die Transaktionen verarbeitet und Ledger-Einträge verwaltet. Die Ermittler fanden keine Hinweise auf eine Ausnutzung dieser Schwachstelle im öffentlichen Netzwerk.

Die Entdeckung hat zudem Ripples Fokus auf künstliche Intelligenz und die Notwendigkeit, Schwachstellen schneller zu identifizieren, geschärft. Der Ripple-Manager betonte:

„KI verändert grundlegend, wie schnell Schwachstellen entdeckt werden können.“

Seine Reaktion sieht stärkere Prämienprogramme, erweiterte KI-gestützte Suchen und adversarische Tests vor, bei denen Angriffe simuliert werden, um Fehler aufzudecken. Ein internes „Red Team“, bestehend aus Spezialisten, die kontrollierte Angriffe durchführen, unterstützt diese Arbeit.

Diese Prioritäten bauen auf den proaktiven KI-Sicherheitsbemühungen von Ripple auf, darunter Code-Scans und -Überprüfungen, die darauf abzielen, Probleme bereits in einer frühen Entwicklungsphase zu erkennen. In Zusammenarbeit mit externen Forschern und der XRPL Foundation wird das Team langjährige Annahmen in den Bereichen Zahlungsverkehr, Transaktionsabwicklung und Kommunikation zwischen Servern überdenken. Eine aktualisierte Einschätzung potenzieller Bedrohungen wird diese Untersuchungen leiten.

Ripple zielt auf Risiken jenseits einzelner Fehler ab

Ripple beabsichtigt zudem, mathematische Überprüfungen durch die Zusammenarbeit mit Common Prefix, einem Blockchain-Forschungs- und Entwicklungsunternehmen, sowie der XRPL Foundation zu beschleunigen. Im Rahmen dieser Zusammenarbeit wird die XRP-Ledger-Software einer formalen Verifikation unterzogen, um zu bewerten, ob das modellierte Verhalten definierten Regeln folgt. Akinyele erklärte, dass dieser Ansatz tiefgreifendere Probleme aufdecken könnte, die anderen Testmethoden möglicherweise entgehen.

Bestehende Verifizierungsarbeiten zum Lending-Protokoll und zum Single Asset Vault werden in diese Erweiterung einfließen. Das Design des XRPL-Lending-Protokolls sieht vor, dass Kredite und Rückzahlungen im Ledger abgewickelt werden, während die Bonitätsprüfungen der Kreditnehmer außerhalb des Ledgers stattfinden. Die Verfügbarkeit im Mainnet hängt von der Aktivierung der erforderlichen Änderungen ab, d. h. von den von den Validatoren genehmigten Änderungen der Netzwerkregeln.

Der zugehörige „Vault“ ist darauf ausgelegt, eine bestimmte Art von Vermögenswerten von Einlegern zu bündeln und unterstützt damit institutionelle Kapitalpools auf dem XRPL für Kreditvergabe und andere Funktionen. Akinyele verband die zunehmende Nutzung der Finanzinfrastruktur mit größerer Verantwortung und versprach weitere Investitionen gemeinsam mit der Community. Er betonte:

„Unser Ziel ist es nicht einfach, mehr Fehler zu finden. Es geht darum, die zugrunde liegenden Risiken systematisch anzugehen und die Ausnutzung der XRPL zu erschweren.“