Un système de sécurité fondé sur l'IA a découvert une vulnérabilité du XRP Ledger qui aurait pu permettre à un attaquant de créer environ 18 000 milliards de XRP au moyen d'une seule transaction de paiement, soit près de 180 fois l'offre initiale de 100 milliards de tokens. La faille menaçait l'intégrité du modèle d'offre fixe de XRP et sa capitalisation boursière annoncée de 94 milliards de dollars, mais RippleX n'a trouvé aucun indice d'exploitation et a confirmé qu'aucun XRP non autorisé n'avait été créé.
Pourquoi c'est important
La faiblesse résultait de la combinaison de deux failles dans le code de paiement et de protection de l'offre de XRPL. Un ensemble d'offres de trading spécialement construit pouvait déclencher un dépassement de capacité d'entier, permettant au vendeur de recevoir le paiement intégral en XRP tandis que l'acheteur n'en était débité que d'une fraction. Le même calcul erroné pouvait empêcher le mécanisme de protection de l'offre de détecter les XRP nouvellement créés.
Le code du moteur de paiement datait de 2015, tandis que le mécanisme de protection concerné avait été introduit en 2017. Le problème a résisté à plus d'une douzaine d'audits et de concours de sécurité, dont un doté de 550 000 dollars de récompenses, avant que le système d'IA de Veria Labs ne l'identifie et ne le reproduise sur un réseau local. Veria a reçu une prime de 250 000 dollars.
Impact sur le marché
Les développeurs ont corrigé la vulnérabilité trois jours après son signalement, le 22 septembre, et l'ont rendue publique le 9 octobre. RippleX, la XRP Ledger Foundation et les validateurs ont déployé la version 3.4.1 en dehors du processus normal d'amendement de XRPL, qui exige le soutien de plus de 80 % des validateurs pendant deux semaines consécutives.
Cette approche d'urgence a réduit le risque de voir des XRP contrefaits entrer en circulation, mais elle a introduit un risque temporaire pour le consensus entre les serveurs mis à niveau et ceux qui ne l'étaient pas. Plus de 80 % des validateurs de confiance avaient effectué la mise à niveau au 25 septembre. RippleX prévoit désormais d'élargir les tests assistés par IA, de renforcer les évaluations adversariales et de recourir davantage à la vérification formelle des composants historiques de XRPL.
Questions fréquemment posées
-
Quelle quantité de XRP la vulnérabilité aurait-elle pu créer ?
La faille aurait pu permettre de créer environ 18 000 milliards de XRP via une seule transaction de paiement, soit près de 180 fois l'offre initiale de 100 milliards.
-
Des XRP non autorisés ont-ils été créés ou perdus ?
Non. RippleX a confirmé qu'aucun XRP non autorisé n'avait été créé, qu'aucun fonds n'avait été perdu et que les enquêteurs n'avaient trouvé aucun indice d'exploitation sur les réseaux publics.
-
Comment la vulnérabilité de XRPL fonctionnait-elle ?
Un dépassement de capacité d'entier pouvait fausser le calcul du paiement de l'acheteur, tandis qu'une seconde faille pouvait empêcher le mécanisme de protection de l'offre de détecter les XRP nouvellement créés.
-
Pourquoi XRPL a-t-il contourné son processus normal d'amendement ?
Les développeurs ont conclu qu'attendre la procédure habituelle d'approbation des validateurs laisserait la vulnérabilité exposée et permettrait à des attaquants de l'exploiter avant l'activation du correctif.
-
Quels changements RippleX prévoit-il après cet incident de sécurité ?
RippleX prévoit d'étendre la détection des vulnérabilités assistée par IA, d'accroître les tests adversariaux, de renforcer la vérification formelle et de retester les problèmes résolus sur les versions candidates.
CoinDesk
CZ Binance
TheBlock
Crypto News
WuBlockchain