Les développeurs du XRP Ledger ont corrigé un bug critique du moteur de paiement qui aurait pu créer environ 18 000 milliards de XRP en une seule transaction, selon un rapport de divulgation. La faille était présente dans le code depuis 2015 et concernait l’absence de contrôles de dépassement lors du traitement de nombreuses offres du carnet d’ordres. Rien n’indiquait qu’elle avait été exploitée sur un réseau public.
Pourquoi c’est important
Un attaquant aurait pu créer des centaines de comptes, proposer de minuscules quantités de tokens contre des montants de XRP extrêmement élevés, puis régler toutes les offres au sein d’un seul paiement. Les calculs auraient pu revenir à une faible valeur, permettant aux vendeurs de recevoir la totalité de leurs fonds tandis que l’acheteur ne payait que quelques centaines de drops, en plus des frais de transaction. Un contrôle de solde associé n’aurait pas non plus bloqué la création de nouveaux XRP.
Cayden Liao, de Veria Labs, a déclaré que l’agent d’IA de l’entreprise avait découvert le problème et conçu un exploit fonctionnel. Selon son estimation, la faille aurait permis de créer 18 000 milliards de XRP, soit 184 fois l’offre initiale de 100 milliards de tokens. Ripple a versé à Veria la récompense maximale de 250 000 dollars prévue par le programme.
Impact sur le marché
RippleX a déployé le correctif dans xrpld version 3.4.1, trois jours après que Veria a signalé le bug le 22 septembre. Ce jour-là, plus de 80 % des validateurs de la Unique Node List par défaut utilisaient la version corrigée. Contrairement aux amendements habituels du XRP Ledger, le correctif est devenu effectif au fur et à mesure de la mise à niveau des serveurs, évitant une publication publique qui aurait pu exposer la vulnérabilité avant son activation.
La mise à jour a également corrigé un autre bug lié à Batch, qui aurait pu laisser des enregistrements malformés et perturber les indexeurs, les explorateurs et les SDKs, sans toutefois offrir de gain on-chain. L’incident souligne l’importance des tests assistés par l’IA et de la vérification formelle pour les infrastructures blockchain ouvertes.
Questions fréquemment posées
-
Quelle quantité de XRP la vulnérabilité aurait-elle pu créer ?
Veria Labs a estimé qu’une seule transaction d’exploitation aurait pu créer environ 18 000 milliards de XRP, soit 184 fois l’offre initiale de 100 milliards de tokens.
-
Comment fonctionnait le bug de paiement du XRP Ledger ?
L’absence de contrôles de dépassement pouvait faire revenir à une faible valeur des totaux de paiement très élevés lorsqu’une transaction consommait de nombreuses offres du carnet d’ordres.
-
La faille du XRP Ledger a-t-elle été exploitée sur un réseau public ?
Le rapport de divulgation indiquait qu’aucune preuve ne montrait une exploitation du problème sur un réseau public.
-
Qui a découvert la vulnérabilité du XRP Ledger ?
Veria Labs a déclaré que son agent d’IA avait découvert le bug et conçu un exploit fonctionnel. Ripple a versé à l’entreprise la récompense maximale de 250 000 dollars prévue par le programme.
-
Qu’a corrigé d’autre la mise à jour xrpld 3.4.1 ?
La mise à jour a également corrigé un autre bug lié à Batch, qui aurait pu produire des enregistrements malformés et perturber les indexeurs off-chain, les explorateurs et les SDKs.
CoinDesk
CZ Binance
CryptoSlate
Crypto News
WuBlockchain
CoinTelegraph