In der Kryptowelt wird ein festes Angebot oft als heilige Garantie betrachtet, gleichsam als digitales Äquivalent zu Gold im Safe. Doch eine Schwachstelle im XRP Ledger, die sich seit dem Jahr 2015 versteckt hatte, zeigte, wie brüchig dieses Vertrauen sein kann: Ein Bug in der Zahlungs-Engine ermöglichte es, ausgebbare XRP über das Limit von 100 Milliarden Coins hinaus zu erzeugen.
Die Forscher Cayden Liao und Veria AI entdeckten das Problem über das Bug-Bounty-Programm am 22. September des Jahres 2026. RippleX reproduzierte den Angriff auf einem Testserver und bestätigte, dass ein Angreifer neue Token generieren konnte, indem er den Überlauf einer 64-Bit-Ganzzahl bei der Summierung zahlreicher Angebote an der integrierten Börse ausnutzte. Der Käufer hätte einen winzigen Betrag gezahlt, während die Verkäufer den vollen Betrag erhielten – die Differenz verwandelte sich in „neue“ XRP, die anschließend ausgegeben werden konnten.
Alle 100 Milliarden XRP wurden beim Start des Netzwerks im Jahr 2012 geschaffen, und das Protokoll sah von Anfang an keine zusätzliche Emission vor. Der Bug blieb ein Jahrzehnt lang unbemerkt, weil gewöhnliche Transaktionen sich der Überlaufgrenze nie näherten. Die Prüfung „ohne Erzeugung von XRP“ stützte sich auf dieselbe Arithmetik und übersah die Anomalie ebenfalls, während das Limit für den Kontostand eines einzelnen Kontos durch die Verteilung auf Hunderte von Adressen umgangen wurde.
Die Korrektur wurde in xrpld 3.4.1 bereits am 25 September veröffentlicht – im Eilverfahren, ohne die übliche Abstimmung der Validatoren. Mehr als 80 % der Nodes aktualisierten sich noch am selben Tag. Die Entwickler fanden keine Spuren einer Ausnutzung in öffentlichen Netzwerken, doch allein die Tatsache, dass die Schwachstelle so lange bestand, lässt einen nachdenken: Wer kontrolliert eigentlich die Regeln, nach denen unser digitales Geld „funktioniert“?
Für Halter von XRP und anderen Krypto-Assets erinnert diese Geschichte an eine einfache Wahrheit: Vertrauen in den Code ist keine Abstraktion, sondern eine tägliche Risikokalkulation. Bug-Bounties und schnelle Patches funktionieren, doch sie heben nicht die Notwendigkeit auf, zu diversifizieren und zu verstehen, dass selbst „unveränderliche“ Regeln manchmal menschliches Eingreifen erfordern.
Letztlich stärkte das Update den Schutz, indem es eine Überlaufprüfung hinzufügte und den Invariantenzähler erweiterte. Die wichtigste Lehre für jeden, der Vermögenswerte in einer Blockchain hält: Die Zuverlässigkeit eines Systems misst sich nicht nur an seinen früheren Erfolgen, sondern auch an der Bereitschaft, verborgene Risse schnell zu reparieren.
