Le XRP Ledger défend un correctif d'urgence pour un bogue permettant de créer un nombre illimité de XRP

Les développeurs du XRP Ledger ont défendu le correctif de sécurité d'urgence visant à corriger un bogue pouvant générer des XRP au-delà de l'offre fixe du réseau, affirmant qu'ils ne pouvaient pas attendre le vote habituel des validateurs sur deux semaines sans exposer la faille aux attaquants.

Ce correctif, publié le 25 septembre, est intervenu trois jours après un signalement dans le cadre d’un programme de primes à la découverte de bogues et a pris effet immédiatement sur tout serveur l’ayant installé. Il s’agit du premier contournement délibéré du processus normal d’amendement depuis plus de dix ans, selon eux.

« Avec un vote d’amendement classique, la correction aurait été rendue publique pendant des semaines avant d’entrer en vigueur, mettant ainsi en péril la sécurité du réseau », ont déclaré les développeurs du XRP Ledger dans un message publié sur X dimanche.

Cette mise à jour accélérée a soulevé des interrogations sur le degré de décentralisation du XRP Ledger. Sur son site web, celui-ci se présente comme une blockchain publique entièrement décentralisée — une caractérisation centrale des arguments selon lesquels son jeton natif, XRP, ne constitue pas un titre financier.

Le correctif de sécurité du XRP Ledger « a soulevé de nombreuses questions »

Justin Bons, fondateur de Cyber Capital, a déclaré jeudi que commercialiser le XRP auprès des investisseurs particuliers en tant que décentralisé équivalait à « une fraude pure et simple ». Il a fait valoir que la version d’urgence du 25 septembre n’a été diffusée que sous forme de binaires, que le code source a temporairement été retenu et que les opérateurs ont été incités à effectuer la mise à jour.

Toutefois, la Fondation XRP Ledger a indiqué que la décision de contourner le processus normal d’amendement avait été prise conjointement par la Fondation, RippleX, les développeurs principaux et les validateurs, après évaluation de la gravité du bogue.

« Aucune partie seule n’aurait pu prendre cette décision. Chaque validateur et opérateur de nœud choisit librement le logiciel qu’il exécute, et la version 3.4.1 n’est devenue obligatoire qu’après un vote d’amendement classique ayant recueilli le soutien de plus de 80 % des validateurs pendant deux semaines. Les modifications protocolaires passent toujours par des amendements », a précisé la fondation.

XRP Kuwait, opérateur indépendant de validateur, a également rejeté l’affirmation selon laquelle ces mises à jour coordonnées témoigneraient d’un contrôle centralisé.

« Nous contestons l’idée selon laquelle la coordination entre opérateurs pour une mise à jour constitue en soi une preuve de contrôle centralisé », a-t-il déclaré. « Coordination ne signifie pas contrôle. Des opérateurs indépendants peuvent analyser une situation, communiquer entre eux et aboutir à la même conclusion sans renoncer à leur autonomie. »

Le bogue aurait pu générer un nombre illimité de XRP

Selon le rapport de divulgation des vulnérabilités du projet, ce bogue était un dépassement d’entier dans le moteur de paiement du XRP Ledger, présent depuis 2015.

Les soldes XRP sont stockés sous forme d’entiers sur 64 bits avec une valeur maximale fixe. Lorsqu’une somme dépassait cette limite, le calcul revenait à une valeur inférieure au lieu d’échouer.

Un attaquant pouvait exploiter ce comportement en créant des centaines d’offres spécifiquement tarifées, chacune demandant une très grande quantité de XRP, puis en envoyant un seul paiement qui les consommait toutes.

Le moteur créditerait chaque propriétaire d’offre du montant total demandé, mais ne débiterait l’acheteur que du faible montant résultant du dépassement. La différence correspondrait à de nouveaux XRP créés et utilisables.

L’attaque nécessitait la création délibérée d’offres et ne pouvait être déclenchée par une activité commerciale normale, selon le rapport. Les développeurs n’ont trouvé aucune trace d’exploitation de cette vulnérabilité sur aucun réseau public.

Magazine : Attaque sur Ledger s’étend à l’UE ; une IA découvre un bogue de « 18 000 milliards de XRP » : Hodler’s Digest