18 Billionen XRP aus dem Nichts, das ist das 184-fache der gesamten jemals existierenden Menge dieser Kryptowährung. Genau diese Zahl stand im Raum, als eine Sicherheitsfirma im September 2026 eine Schwachstelle im Code der XRP Ledger meldete, die seit rund zehn Jahren unentdeckt geblieben war. Die XRP Ledger Sicherheitslücke betraf das Herzstück des Netzwerks: das interne Zahlungs- und Orderbuchsystem, über das täglich Werte in Milliardenhöhe bewegt werden. Entdeckt wurde der Fehler nicht von einem klassischen Audit-Team, sondern mithilfe eines KI-Agenten der Firma Veria Labs unter Gründer Cayden Liao.
Der Fall zeigt exemplarisch, wie sich die Methoden zur Aufdeckung kritischer Blockchain-Schwachstellen verändern, und wie selbst über ein Jahrzehnt lang geprüfter Code noch fundamentale Fehler enthalten kann.
Inhaltsverzeichnis
Key Takeaways
- Die XRP Ledger Sicherheitslücke steckte seit 2015 im rippled-Code, der Kernsoftware der XRP Ledger, und blieb rund zehn Jahre unentdeckt.
- Ein Integer-Overflow im internen Orderbuchsystem hätte theoretisch die Erzeugung von bis zu 18 Billionen XRP ermöglicht, weit mehr als die fixe Gesamtmenge von 100 Milliarden XRP.
- Der KI-Agent von Veria Labs (Gründer Cayden Liao) entdeckte die Lücke; die Meldung an RippleX erfolgte am 22. September 2026.
- RippleX reproduzierte den Angriff erfolgreich auf einem Testserver und veröffentlichte bereits am 25. September 2026 den Fix in xrpld 3.4.1, unter Umgehung des üblichen zweiwöchigen Abstimmungsprozesses.
- Veria Labs erhielt eine Rekord-Bug-Bounty von 250.000 US-Dollar; es gibt keine Hinweise auf eine tatsächliche Ausnutzung im Live-Netzwerk.
Was genau ist die XRP Ledger Sicherheitslücke
Die XRP Ledger Sicherheitslücke betraf die sogenannte Payment Engine der XRPL, jenen Teil des Systems, der Zahlungen zwischen Konten verarbeitet und dabei auch das eingebaute dezentrale Orderbuch (Decentralized Exchange, DEX) der Ledger nutzt. Über dieses Orderbuch können Nutzer direkt auf der Blockchain verschiedene Token und XRP gegeneinander tauschen, ohne eine externe Börse zu benötigen.
Der Fehler lag technisch in einem Integer-Overflow, also einem Zählfehler, der auftritt, wenn eine Berechnung einen Wert erzeugt, der größer ist, als die zugrunde liegende Datenstruktur speichern kann. Solche Fehler sind in der Softwareentwicklung keine Seltenheit, in sicherheitskritischen Finanzsystemen aber potenziell katastrophal, weil sie Zahlen grundlegend verfälschen können.
"Ein einziger Zählfehler im Kern des Zahlungssystems genügte, um theoretisch neue XRP aus dem Nichts zu erzeugen, ohne dass eine zentrale Autorität dies autorisiert hätte."
Der Mechanismus hinter dem Exploit
Um die Tragweite der XRP Ledger Sicherheitslücke zu verstehen, lohnt sich ein Blick auf den konkreten Angriffsweg, den Sicherheitsforscher rekonstruierten.
Schritt für Schritt erklärt
- Vorbereitung: Ein Angreifer eröffnet Hunderte Accounts auf der XRP Ledger.
- Manipulierte Angebote: Jeder dieser Accounts bietet eine winzige Menge eines beliebigen Tokens an, jedoch im Austausch gegen eine ungewöhnlich große Menge XRP.
- Die auslösende Transaktion: Ein einziger Käufer-Account sendet eine Zahlungstransaktion, die alle diese Angebote gleichzeitig aufkauft.
- Der Fehler greift: Durch den Integer-Overflow im Zählmechanismus des Orderbuchs werden die Verkäufer-Accounts vollständig ausgezahlt, während der Käufer-Account nur einen Bruchteil des eigentlich fälligen Betrags belastet bekommt.
- Das Delta: Die Differenz zwischen dem, was ausgezahlt wurde, und dem, was tatsächlich abgebucht wurde, entspricht neu erzeugtem XRP, Geld, das vorher schlicht nicht existierte.
Diese Konstruktion aus vielen kleinen, parallel ausgeführten Trades in einer einzigen Transaktion ist der entscheidende Trick: Sie überlastet den internen Zähler so, dass er "umschlägt" und falsche Werte zurückgibt.
Warum die Grössenordnung so extrem war
Die theoretisch mögliche Menge von bis zu 18 Billionen neu erzeugten XRP steht in keinem Verhältnis zur realen Wirtschaft des Netzwerks. Zur Einordnung:
| Kennzahl | Wert |
|---|---|
| Fixe Gesamtmenge XRP (Founding Supply) | 100 Milliarden XRP |
| Theoretisch erzeugbare Menge durch den Bug | bis zu 18 Billionen XRP |
| Verhältnis zur Gesamtmenge | etwa 184-fach |
| Marktkapitalisierung XRP zum Berichtszeitpunkt | rund 94 Milliarden US-Dollar |
| Alter der Schwachstelle | rund 10 Jahre (seit 2015) |
Ein erfolgreicher Exploit hätte das fundamentale Versprechen der XRP Ledger, eine feste, unveränderliche Gesamtmenge an Token, ausgehebelt. Da der wirtschaftliche Wert von XRP maßgeblich auf dieser Knappheit beruht, wäre die gesamte Marktkapitalisierung von rund 94 Milliarden US-Dollar unmittelbar bedroht gewesen.
Die Rolle des KI-Agenten bei der Entdeckung
Besonders bemerkenswert an diesem Fall ist der Entdeckungsweg. Veria Labs, eine auf Blockchain-Sicherheit spezialisierte Firma unter Gründer Cayden Liao, setzte einen KI-Agenten ein, der systematisch den Quellcode von rippled, der Referenzimplementierung der XRP-Ledger-Server-Software, analysierte.
Anders als klassische manuelle Audits, bei denen menschliche Prüfer gezielt nach bekannten Mustern von Schwachstellen suchen, kann ein KI-gestützter Ansatz große Mengen an Code systematisch auf logische Inkonsistenzen und Grenzfälle untersuchen, die bei wiederholten manuellen Prüfungen über Jahre hinweg übersehen wurden. Genau das geschah hier: Ein zentraler Bestandteil des Systems, der seit 2015 im Einsatz war und zahlreiche frühere Audits durchlaufen hatte, enthielt weiterhin diesen gravierenden Zählfehler.
Dieser Fall reiht sich in eine Serie ähnlicher Entdeckungen seit Juli 2026 ein, bei denen KI-gestützte Analysen lange unentdeckte Sicherheitslücken in Kryptowährungssystemen aufdeckten. Dazu zählen unter anderem ein Bug in Coldcard-Hardware-Wallets, der mit dem Diebstahl von mindestens 1.367 BTC in Verbindung gebracht wird, sowie Schwachstellen in Core Lightning, die Bitcoin-Node-Betreiber zur vorsorglichen Netzwerktrennung zwangen. Die XRP Ledger Sicherheitslücke fügt sich damit in ein größeres Muster: Kritische Infrastruktur, die über Jahre als sicher galt, wird zunehmend durch maschinengestützte Analyseverfahren neu bewertet.
Chronologie der Offenlegung und Behebung
Die Reaktion von RippleX, dem Entwicklerteam hinter der XRP Ledger, auf die Meldung verlief ungewöhnlich schnell für eine Infrastruktur dieser Größenordnung.
22. September 2026: Veria Labs meldet die Schwachstelle vertraulich an RippleX.
Kurz danach: RippleX reproduziert den beschriebenen Angriff erfolgreich auf einem eigenen Testserver. Dabei bestätigt das Team, dass das durch den Fehler erzeugte XRP tatsächlich in einer Folgetransaktion ausgegeben werden konnte, ein entscheidender Nachweis dafür, dass es sich nicht nur um einen theoretischen Fehler, sondern um einen real ausnutzbaren Exploit handelte.
25. September 2026: Der Fix wird im Software-Release xrpld 3.4.1 veröffentlicht. Bemerkenswert dabei: Zum ersten Mal seit über zehn Jahren wich RippleX bewusst vom üblichen zweiwöchigen Amendment-Voting-Prozess ab, bei dem Validatoren im Netzwerk über Änderungen abstimmen. Angesichts der Schwere der XRP Ledger Sicherheitslücke wurde die Lücke stattdessen beschleunigt geschlossen.
9. Oktober 2026: RippleX veröffentlicht den offiziellen technischen Disclosure-Report auf xrpl.org, der die Details des Bugs, den Entdeckungsprozess und die Behebung dokumentiert.
Warum die Abweichung vom Standardprozess bedeutsam ist
Das Amendment-Voting-System der XRP Ledger ist bewusst konservativ gestaltet: Änderungen am Protokoll benötigen normalerweise die Zustimmung einer großen Mehrheit der Validatoren über einen Zeitraum von rund zwei Wochen. Dieser Mechanismus soll verhindern, dass einzelne Akteure unkontrolliert Änderungen am Netzwerk durchsetzen.
Dass RippleX diesen Prozess im konkreten Fall umging, unterstreicht den Ernst der Lage. Ein Zeitfenster von zwei Wochen, in dem die Schwachstelle öffentlich bekannt, aber noch nicht behoben gewesen wäre, hätte ein erhebliches Risiko dargestellt. Die beschleunigte Reaktion zeigt, dass Sicherheitsvorfälle dieser Größenordnung im Zweifel Vorrang vor formalen Governance-Prozessen erhalten.
Die Bug-Bounty-Belohnung als Signal
Für die Meldung der XRP Ledger Sicherheitslücke erhielt Veria Labs eine Prämie von 250.000 US-Dollar, der höchste jemals im Rahmen des XRPL-Bug-Bounty-Programms ausgezahlte Betrag. Diese Summe lässt sich als klares Signal lesen: Die Entwicklergemeinschaft rund um die XRP Ledger bewertet das Auffinden solcher fundamentalen Schwachstellen als enorm wertvoll, insbesondere wenn sie das Kernversprechen der festen Gesamtmenge betreffen.
Bug-Bounty-Programme funktionieren nach einem einfachen Prinzip: Sicherheitsforscher, die Schwachstellen verantwortungsvoll und vertraulich melden, statt sie auszunutzen oder öffentlich zu machen, werden finanziell belohnt. Dieses Modell hat sich in der gesamten Softwarebranche etabliert und spielt in der Kryptowelt eine besonders wichtige Rolle, da Fehler hier unmittelbar finanzielle Schäden in Millionen- oder Milliardenhöhe verursachen können.
Keine Hinweise auf tatsächliche Ausnutzung
Sowohl RippleX als auch Veria Labs betonten nach Abschluss ihrer Untersuchungen, dass keine Beweise dafür gefunden wurden, dass die Schwachstelle jemals im produktiven, öffentlichen XRPL-Netzwerk ausgenutzt wurde. Dies ist ein wichtiger Unterschied zu anderen Vorfällen in der Kryptobranche, bei denen Schwachstellen erst nach einem tatsächlichen Diebstahl entdeckt wurden.
Im Fall der XRP Ledger Sicherheitslücke handelte es sich somit um einen klassischen Fall verantwortungsvoller Offenlegung (Responsible Disclosure): Die Lücke wurde gefunden, gemeldet, verifiziert und geschlossen, bevor Dritte sie entdecken und missbrauchen konnten.
Was dieser Fall für die Blockchain-Sicherheit bedeutet
Der Vorfall liefert mehrere Lehren für Entwickler und Betreiber von Blockchain-Infrastruktur:
- Alter schützt nicht vor Fehlern: Auch Code, der seit zehn Jahren im produktiven Einsatz ist und zahlreiche Audits durchlaufen hat, kann fundamentale Schwachstellen enthalten.
- KI-gestützte Analysen ergänzen menschliche Audits: Systematische, maschinelle Codeanalyse kann Muster erkennen, die bei wiederholten manuellen Prüfungen übersehen werden.
- Schnelle Reaktionsfähigkeit ist entscheidend: Die Bereitschaft von RippleX, vom Standardprozess abzuweichen, zeigt, dass Governance-Strukturen flexibel genug sein müssen, um auf kritische Sicherheitsvorfälle zu reagieren.
- Bug-Bounty-Programme zahlen sich aus: Eine Prämie von 250.000 US-Dollar erscheint hoch, ist aber verschwindend gering im Vergleich zum potenziellen Schaden einer Marktkapitalisierung von rund 94 Milliarden US-Dollar.
Fazit
Die XRP Ledger Sicherheitslücke zeigt eindrücklich, wie tief verborgene Fehler in zentraler Blockchain-Infrastruktur stecken können, selbst nach einem Jahrzehnt produktiven Betriebs und wiederholten Sicherheitsprüfungen. Der Integer-Overflow im Orderbuchsystem der XRP Ledger hätte theoretisch die Erzeugung von 18 Billionen XRP ermöglicht und damit das Fundament der festen Gesamtmenge dieser Kryptowährung untergraben. Dass der Fehler durch einen KI-gestützten Analyseprozess von Veria Labs entdeckt, von RippleX innerhalb weniger Tage verifiziert und behoben wurde, ohne dass jemals ein realer Schaden entstand, ist ein positives Beispiel für funktionierende Sicherheitsprozesse in der Kryptobranche.
Für Entwickler und technisch interessierte Leser lohnt sich der Blick in den offiziellen Disclosure-Report von RippleX, der die vollständigen technischen Details dokumentiert. Wer eigene Blockchain-Projekte betreibt oder prüft, sollte den Fall als Anlass nehmen, bestehende Codebasen, auch scheinbar stabile und seit Jahren bewährte Komponenten, regelmäßig mit neuen, auch KI-gestützten Methoden erneut zu überprüfen. Sicherheitsarchitektur ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der sich mit den verfügbaren Analysewerkzeugen weiterentwickeln muss. Auch das Nasdaq-Listing der XRP-Treasury-Firma Evernorth zeigt, wie stark institutionelles Vertrauen in die technische Stabilität der XRP Ledger inzwischen gewachsen ist.
