Elf Jahre alter Fehler im XRP Ledger hätte XRP aus dem Nichts erzeugen können – und was das für XRP-Halter bedeutet

Was ist im XRP Ledger passiert?

Am 9. Oktober 2026 haben die Entwickler des XRP Ledgers einen Sicherheitsbericht veröffentlicht, laut dem ein als kritisch eingestufter Integer-Überlauf in der Payment Engine es erlaubt hätte, neues XRP zu erzeugen; der Fehler wurde am 22. September 2026 gemeldet und am 25. September 2026 mit xrpld 3.4.1 behoben.

Wenn du XRP hältst, ist eine Zahl für dich heilig: 100 Milliarden. Mehr XRP kann es nicht geben – dachte man. Dieses Versprechen hatte ein Loch. Laut dem offiziellen Offenlegungsbericht auf xrpl.org konnte ein Angreifer mit speziell konstruierten Angeboten im eingebauten Orderbuch und einer einzigen Zahlung neues XRP schaffen xrpl.org, 09.10.2026. Der Bericht spricht von „kritisch“, die Kosten eines Angriffs hätten nur bei ein paar hundert XRP an Reserven plus Gebühren gelegen, und Sonderrechte brauchte man keine.

Gemeldet hat das Problem der Sicherheitsforscher Cayden Liao gemeinsam mit Veria AI, und zwar über das offizielle XRPL-Bug-Bounty-Programm. RippleX, die Entwicklerabteilung von Ripple, konnte den Angriff auf einem isolierten Testserver nachstellen und bestätigte, dass das erzeugte Geld tatsächlich ausgebbar gewesen wäre CoinDesk, 10.10.2026.

Wie funktionierte der Fehler – einfach erklärt?

Der Fehler war ein Ganzzahlüberlauf: Beim Aufsummieren vieler Angebote im Orderbuch lief die 64-Bit-Summe ohne Prüfung über und wurde winzig, sodass die Verkäufer laut Bericht vom 9. Oktober 2026 ihren vollen Betrag erhielten, der Käufer aber fast nichts bezahlte.

Stell dir eine alte mechanische Kilometeranzeige im Auto vor. Bei 999.999 springt sie auf 000.000. Genau das passiert bei einem Integer-Überlauf im Computer, in der Fachsprache „CWE-190: Integer Overflow or Wraparound“ MITRE CWE, abgerufen 13.10.2026.

Im XRP Ledger betraf das die Payment Engine, die Zahlungen über das eingebaute Orderbuch abwickelt. Frisst eine Zahlung viele Angebote und kombiniert mehrere Zahlpfade, addiert der Code die Beträge. Laut Bericht geschah das mit normaler 64-Bit-Addition ohne Überlaufprüfung. Wurde die Summe größer als der darstellbare Bereich, kippte sie auf einen kleinen Wert. Die Folge: Die Inhaber der Angebote bekamen ihre vollen Beträge gutgeschrieben, der Käufer wurde aber nur mit der „umgekippten“, winzigen Summe belastet xrpl.org, 09.10.2026. Die Differenz wäre neues XRP gewesen – Geld, das vorher nicht existierte.

Aus der Praxis: So ein Fehler zeigt sich nicht, wenn du 500 XRP von deiner Börse auf deine Wallet schickst. Laut XRPL Foundation kommt keine normale Zahlung auch nur in die Nähe des Auslösers; es brauchte hunderte bewusst konstruierte Operationen CoinDesk, 12.10.2026.

Warum blieb der Fehler elf Jahre unentdeckt?

Der Fehler blieb laut XRPL Foundation (Erklärung vom 12. Oktober 2026) vermutlich seit 2015 unentdeckt, weil die Sicherheitsprüfung nach jeder Transaktion mit derselben fehlerhaften Summe rechnete und das Kontolimit nicht griff, wenn das neue XRP auf hunderte Konten verteilt wurde.

Das ist der unangenehme Teil. Der XRP Ledger hat ein Sicherheitsnetz, die Invariant Checks. Nach jeder Transaktion prüft der Server automatisch, ob Grundregeln eingehalten wurden – bevor das Ergebnis ins Ledger geschrieben wird. Eine dieser Regeln heißt wörtlich „XRP Not Created“: Eine Transaktion darf kein XRP erzeugen, nur Gebühren vernichten. Eine zweite begrenzt das Guthaben jedes Kontos auf zwischen 0 und 100 Milliarden XRP xrpl.org Doku, abgerufen 13.10.2026.

Beide Netze versagten. Die „XRP Not Created“-Prüfung rechnete mit demselben Summierungsverfahren wie die fehlerhafte Payment Engine. Ein kaputter Taschenrechner prüft sich eben nicht selbst. Und die Kontoprüfung schlug nicht an, weil ein Angreifer das neue XRP auf viele Konten hätte verteilen können, von denen keines die Grenze überschreitet xrpl.org, 09.10.2026.

Wurde der Fehler ausgenutzt – sind neue XRP entstanden?

Nein, nach allen bisher veröffentlichten Angaben wurde der Fehler nicht ausgenutzt: RippleX fand laut Bericht vom 9. Oktober 2026 keine Hinweise auf eine Ausnutzung in öffentlichen Netzen, und laut XRPL Foundation existieren rund 99,986 Milliarden XRP.

RippleX fand laut CoinDesk „no evidence the flaw was exploited on any public network“ CoinDesk, 10.10.2026. CoinMarketCap weist am 13. Oktober eine Gesamtmenge von 99,98 Milliarden XRP aus, davon 63,12 Milliarden im Umlauf CoinMarketCap, 13.10.2026.

Ehrlicherweise: „Keine Hinweise“ ist eine Selbstauskunft der Entwickler, keine externe Prüfung. Da das Ledger aber öffentlich ist, wäre eine Erzeugung in Milliardenhöhe in den Mengendaten kaum zu verstecken. Wir halten die Aussage deshalb für belastbar.

Was genau ist umgesetzt – und was nur angekündigt?

Umgesetzt ist der Overflow-Fix seit dem 25. September 2026 mit xrpld 3.4.1, zusätzlich sind die Amendments fixBatchV1_2 und BatchV1_1 seit dem 9. Oktober 2026 im Mainnet aktiv; KI-gestützte Angriffstests, formale Verifikation und ein gestärktes Bug-Bounty-Programm sind dagegen nur angekündigt.

Der Bericht behandelt übrigens zwei Fehler. Neben dem Überlauf ging es um eine Lücke in der neuen Batch-Funktion, bei der innere Transaktionen nicht korrekt auf ihr Verpackungsfeld geprüft wurden. Sie konnte kein Geld erzeugen, aber bei gemischten Softwareversionen die Ledger-Validierung stoppen xrpl.org, 09.10.2026. Hier der Stand im Überblick:

GitHub beschreibt 3.4.1 als Notfall-Release; ältere Server sind seit Aktivierung des Amendments „amendment-blockiert“ GitHub XRPLF/rippled, 10.10.2026. Die Ankündigung vom 25. September sprach nur vage von einer „Härtung der Ganzzahl-Arithmetik“ xrpl.org, 25.09.2026.

Warum gab es diesmal kein Amendment – und ist das ein Problem?

Die Entwickler haben den Overflow-Fix am 25. September 2026 bewusst ohne den üblichen, zweiwöchigen Amendment-Prozess ausgerollt, weil die Lücke als kritisch galt und der Fix im offenen Code sichtbar gewesen wäre; sie betonen, dass dies eine Ausnahme bleiben soll.

Im XRP Ledger laufen Protokolländerungen normalerweise über Amendments: Validatoren stimmen ab, und erst wenn eine Supermehrheit zwei Wochen lang zustimmt, schaltet das ganze Netz gleichzeitig um. Hier hätte diese Transparenz Angreifern zwei Wochen Vorsprung geliefert, denn wer den Fix liest, findet die Lücke.

Also änderten die Entwickler das Verhalten direkt in der Software, verteilten zunächst nur fertige Programmpakete und legten den Quellcode erst später offen. Der Bericht räumt ein, dass man damit das Risiko in Kauf nahm, dass alte und neue Server kurzzeitig unterschiedlich rechnen. Entscheidend sei gewesen, dass über 80 Prozent der Validatoren auf der Standard-Vertrauensliste (Default UNL) noch am Release-Tag aktualisierten xrpl.org, 09.10.2026.

Unsere Einschätzung: Technisch war das richtig. Es zeigt aber auch, wie eng koordiniert das XRP Ledger in der Praxis ist – in der Krise ein Vorteil, für die Dezentralitäts-Erzählung eher nicht. Bei Bitcoin oder Ethereum wäre ein stiller Notfall-Patch in diesem Tempo deutlich schwieriger.

Wie viel XRP hätte ein Angreifer theoretisch erzeugen können?

Laut Bericht vom 9. Oktober 2026 hätte ein Angreifer „weit mehr XRP als den Gesamtbestand“ erzeugen können; nach unserer eigenen Rechnung entspricht der Zahlenbereich einer 64-Bit-Ganzzahl in Drops dem 92- bis 184-Fachen der Maximalmenge von 100 Milliarden XRP.

Eine exakte Obergrenze nennt der Bericht nicht, deshalb eine eigene Größenordnungsrechnung. XRP wird intern in „Drops“ gezählt, eine Million Drops ergeben ein XRP. Eine vorzeichenbehaftete 64-Bit-Ganzzahl reicht bis rund 9,22 Trillionen (9,22 × 10¹⁸) Drops. Das sind etwa 9,22 Billionen XRP, also das 92-Fache von 100 Milliarden. Ohne Vorzeichen wären es rund 18,45 Billionen XRP, das 184-Fache. Welcher Datentyp an der konkreten Stelle betroffen war, geht aus dem Bericht nicht hervor; die Rechnung zeigt nur die Dimension.

Die Zahl in Euro umzurechnen, wäre unsinnig: Kein Markt hätte solche Mengen aufgenommen, der Preis wäre sofort kollabiert. Was schon ein Bruchteil davon für einen normalen Bestand bedeutet hätte, kannst du unten durchspielen.

Zur Einordnung: Von den 99,98 Milliarden XRP sind laut CoinMarketCap 63,12 Milliarden im Umlauf. Die übrigen rund 36,86 Milliarden (36,9 Prozent) liegen größtenteils bei Ripple, unter anderem im Escrow CoinMarketCap, 13.10.2026. Der Rechner bezieht die Verwässerung deshalb auf die handelbare Umlaufmenge.

Mit den Standardwerten – 2.000 XRP zum Kurs von 1,2253 Euro, also 2.450,60 Euro – würden zehn Milliarden neue XRP die Umlaufmenge um 13,68 Prozent verwässern. Rein rechnerisch blieben 2.115,45 Euro. Realistisch wäre der Schaden größer, weil eine gebrochene Obergrenze das Kernversprechen des Assets beschädigt. Mit einem Vertrauensabschlag von 30 Prozent landest du bei 1.480,82 Euro. Der Abschlag ist gesetzt, keine Prognose. Genau deshalb ist die Nachricht, dass es nicht passiert ist, die wichtigste in diesem Artikel.

Was hat der Bitcoin-Fehler von 2010 damit zu tun?

Am 15. August 2010 erzeugte ein ähnlicher Ganzzahlüberlauf in Bitcoin in Block 74638 rund 184,47 Milliarden BTC; der Fehler wurde innerhalb von fünf Stunden mit einer neuen Client-Version behoben und die fehlerhafte Kette verworfen.

Auch Bitcoin hatte exakt diese Fehlerklasse. Im August 2010 gelang es jemandem, über eine manipulierte Transaktion 184.467.440.737,09551616 BTC zu erzeugen, verteilt auf zwei Adressen mit je 92,2 Milliarden BTC Bitcoin Wiki, abgerufen 13.10.2026. Die Schwachstelle trägt heute die Kennung CVE-2010-5139 und betraf Versionen vor 0.3.11 NIST NVD, abgerufen 13.10.2026.

Die krumme Zahl ist kein Zufall: 2⁶⁴ Satoshi ergeben nach unserer Rechnung exakt 184.467.440.737,09551616 BTC – dieselbe 64-Bit-Grenze wie im XRP-Fall.

Der Unterschied: Bitcoin wurde ausgenutzt und musste per Kettenreorganisation repariert werden, beim XRP Ledger wurde der Fehler laut den Entwicklern vorher gefunden. Eine feste Obergrenze ist immer nur so stark wie der Code, der sie durchsetzt.

Welche Rolle spielte KI bei der Entdeckung?

Die Lücke wurde am 22. September 2026 von Cayden Liao zusammen mit Veria AI gemeldet; die XRPL Foundation sagte am 12. Oktober 2026, KI beschleunige das Finden solcher Fehler sowohl für Angreifer als auch für Verteidiger.

Das ist vielleicht der wichtigste Satz für die nächsten Jahre. Die Foundation formulierte es so: KI mache es schneller, solche Fehler zu finden – für „the bad guys and the good guys“ CoinDesk, 12.10.2026. Ein Fehler, der elf Jahre lang niemandem auffiel, wurde gefunden, als jemand mit maschineller Unterstützung systematisch Randfälle durchprobierte.

RippleX beschreibt in einem eigenen Beitrag bereits KI-gestützte Red-Team-Tests und formale Verifikation in Lean 4 RippleX auf dev.to, 2026 – Selbstauskünfte, aber eine klare Richtung.

Unsere Einschätzung: Ähnliche Meldungen werden häufiger – bei XRP, anderen Netzwerken und DeFi-Protokollen. Ein Fehler, der gefunden und still behoben wird, ist die beste Variante. Schlimm sind die, die zuerst Angreifer finden, wie bei Kelp DAO im April.

Was bedeutet das für deutsche Anleger?

Für deutsche XRP-Anleger besteht nach Stand 13. Oktober 2026 kein Handlungsbedarf: Der Fehler betraf die Server-Software des Netzwerks, nicht Wallets oder Börsenkonten, wurde am 25. September 2026 behoben und nach offiziellen Angaben nie ausgenutzt.

Ob du XRP bei einer Börse liegen hast oder selbst verwahrst, ändert hier nichts. Die Lücke saß in xrpld, der Software, die Validatoren und Server-Betreiber laufen lassen. Deine Wallet-App, deine Seed-Phrase und dein Börsenkonto waren nicht betroffen.

Was du stattdessen mitnehmen solltest, ist eine Einordnung des Risikos. Ob du XRP direkt, als langfristige Position oder indirekt über einen XRP-ETF hältst: „Protokollrisiko“ gehört ab jetzt sichtbar auf deine Liste – neben Kurs-, Regulierungs- und Verwahrungsrisiko. Das gilt für jedes Netzwerk – genauso wie Lieferketten-Risiken (manipulierte Ledger-Geräte über CryptoBilis) oder Börsenrisiken (Bitget-Hack im September).

Muss ich jetzt etwas tun?

Nein, als normaler XRP-Halter musst du am 13. Oktober 2026 nichts tun; nur wer selbst einen XRPL-Server betreibt, muss laut Release-Hinweis mindestens auf xrpld 3.4.1 aktualisieren.

Aber: Betrüger nutzen solche Schlagzeilen gern. Wenn dir in den nächsten Tagen jemand schreibt, du müsstest wegen des „XRP-Bugs“ deine Wallet „migrieren“, „verifizieren“ oder deine Seed-Phrase in ein Formular eintragen, ist das Phishing. Unser Leitfaden zur Krypto-Sicherheit erklärt die gängigen Maschen, und im Wallet-Vergleich findest du, welche Verwahrung zu dir passt.

Steuerlich ändert sich ebenfalls nichts. Wer jetzt aus Verunsicherung verkauft, sollte die Haltefrist im Blick behalten: Nach geltendem Recht sind Gewinne aus privaten Veräußerungen nach mehr als einem Jahr Haltedauer steuerfrei, Details stehen in unserem Überblick zu Krypto-Steuern 2026. Was die geplante Reform daran ändern soll, haben wir beim Referentenentwurf zur Krypto-Steuer eingeordnet.

Was bedeutet das für den XRP-Kurs?

Einen klaren Kurseffekt des Fehlers sehen wir nicht: XRP notierte am Morgen des 13. Oktober 2026 bei 1,37 US-Dollar (1,23 Euro) und damit 2,86 Prozent unter dem Vortag, während auch Bitcoin und der Gesamtmarkt nachgaben.

Zwischen Bericht (9. Oktober) und Foundation-Erklärung (12. Oktober) bewegten den Markt andere Themen: hohe US-Anleiherenditen, Ölpreis, ETF-Abflüsse von über 600 Millionen Dollar in der Vorwoche CoinDesk, 12.10.2026. Bitcoin lag am Morgen bei rund 83.358 Dollar, umgerechnet etwa 74.554 Euro CoinMarketCap, 13.10.2026, Ethereum bei rund 2.516 Dollar (2.250 Euro) CoinMarketCap, 13.10.2026. Alle Euro-Werte rechnen wir mit dem EZB-Referenzkurs vom 12. Oktober von 1,1181 Dollar je Euro EZB, 12.10.2026.

XRP selbst kommt laut CoinMarketCap auf eine Marktkapitalisierung von 86,56 Milliarden Dollar (rund 77,4 Milliarden Euro), Platz 5. Vom Allzeithoch von 3,84 Dollar aus dem Januar 2018 ist der Kurs nach unserer Rechnung 64,3 Prozent entfernt CoinMarketCap, 13.10.2026. Mehr zu den Treibern: unsere XRP-Prognose 2026–2030 und der Rückblick auf den 40-Prozent-Anstieg im Spätsommer.

Unsere Einschätzung: Kurzfristig ist der Fehler für den Kurs ein Nicht-Ereignis, weil der Schaden ausblieb. Mittelfristig werden institutionelle Nutzer – etwa Banken, die den Stablecoin RLUSD auf dem XRP Ledger verwahren – genauer nach den Sicherheitsprozessen fragen. Der schnelle Fix spricht für das Netzwerk, die elf Jahre Unentdecktheit dagegen.

Häufige Fragen zum XRP-Ledger-Fehler

Weiterlesen auf KryptoZukunft.com

Zitiervorschlag: Rieger, Felix (2026): Elf Jahre alter Fehler im XRP Ledger hätte XRP aus dem Nichts erzeugen können – und was das für XRP-Halter bedeutet. KryptoZukunft.com, veröffentlicht am 13. Oktober 2026. https://kryptozukunft.com/2026/10/13/xrp-ledger-fehler-xrp-aus-dem-nichts/

Hinweis: Dieser Artikel dient ausschließlich der Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Kryptowerte sind hochvolatil, ein Totalverlust ist möglich. Kurse und Kennzahlen sind Momentaufnahmen vom 13. Oktober 2026 und können sich jederzeit ändern. Eigene Berechnungen sind als solche gekennzeichnet; Angaben zur Nicht-Ausnutzung beruhen auf Auskünften der XRPL-Entwickler.