XRP Ledger corrige un bug vieux de dix ans qui aurait pu créer des milliards de XRP fantômes

Des chercheurs ont découvert une vulnérabilité critique permettant aux attaquants de générer du XRP dépensable sans financer les transactions, provoquant une publication logicielle d'urgence après que la faille soit restée latente pendant dix ans.

L'équipe de développement de XRP Ledger a corrigé une vulnérabilité critique restée non détectée pendant plus d'une décennie, qui aurait pu permettre à des acteurs malveillants de créer des milliards de dollars de jetons XRP à partir de rien. Les chercheurs en sécurité ont démontré comment un attaquant pourrait exploiter la faille pour générer du XRP dépensable sans que l'expéditeur ne finance réellement le paiement, brisant fondamentalement l'intégrité de l'offre du registre.

Le bug résidait dans la logique de traitement des paiements du protocole central de XRP Ledger. Dans des circonstances normales, lorsqu'un utilisateur envoie du XRP, le registre déduit le montant du solde de l'expéditeur et le crédite au destinataire. La vulnérabilité permettait à une transaction soigneusement élaborée de contourner l'étape de déduction tout en créditant le destinataire, créant effectivement de nouveaux XRP qui pouvaient ensuite être échangés, transférés ou vendus sur des plateformes.

Les chercheurs qui ont découvert la faille l'ont signalée en privé à Ripple Labs et à la XRP Ledger Foundation, déclenchant un processus de divulgation coordonnée d'urgence. L'équipe de développement a publié une version corrigée du logiciel de registre et a exhorté tous les validateurs et opérateurs de nœuds à mettre à jour immédiatement. Étant donné que le XRP Ledger repose sur un mécanisme de consensus impliquant des nœuds validateurs, le correctif nécessitait une adoption rapide sur l'ensemble du réseau pour éviter l'exploitation.

L'impact potentiel était stupéfiant. Avec le XRP se négociant autour de 0,50 $ et une offre en circulation d'environ 53 milliards de jetons, même une exploitation modeste créant quelques milliards de jetons aurait pu faire s'effondrer le prix et détruire la confiance dans l'actif. L'existence décennale du bug soulève des questions sur les pratiques de révision du code dans les projets de crypto-monnaie qui gèrent des dizaines de milliards de dollars de valeur, en particulier ceux lancés avant que l'audit de sécurité moderne ne devienne la norme.

Pour les détenteurs de XRP, le risque immédiat est passé maintenant que le correctif est déployé et largement adopté par les validateurs. Cependant, l'incident souligne la fragilité cachée des systèmes blockchain. Contrairement à l'infrastructure financière traditionnelle où les bugs peuvent souvent être annulés ou les transactions inversées, une exploitation réussie sur un registre décentralisé peut être irréversible si les attaquants déplacent suffisamment rapidement les jetons volés ou fabriqués via des services de mixage ou des échanges décentralisés.

L'équipe de développement de XRP Ledger n'a pas divulgué si un attaquant a réellement découvert et utilisé la vulnérabilité avant le correctif, bien que les entreprises d'analyse on-chain passent maintenant au crible les données de transaction historiques à la recherche d'anomalies. Les chercheurs qui ont trouvé le bug devraient publier un rapport technique détaillé une fois qu'un temps suffisant sera passé pour que tous les nœuds se mettent à jour, permettant à la communauté de sécurité plus large d'apprendre de la faille et d'auditer des bases de code similaires pour des problèmes comparables.