#XRP账本修复可增发XRP的漏洞
$XRP Cette faille était si grave que sa correction a contourné le vote habituel.
Le 9 octobre 2026, XRPL a révélé l’existence d’une faille remontant à 2015, qui permettait de créer des XRP dépensables à partir de rien. Selon l’équipe, rien n’indique qu’elle ait été exploitée sur le réseau public.
Le mécanisme était assez aberrant. Lorsqu’il additionnait les montants des ordres, le système de paiement pouvait traiter un nombre trop grand et revenir à une petite valeur. Le vendeur recevait le montant initial, mais l’acheteur n’était débité que d’une somme dérisoire : la différence se transformait alors en nouveaux XRP. Même le programme chargé de vérifier qu’il n’y avait pas eu de création monétaire utilisait le même calcul et se trompait lui aussi. L’équipe de développement a reproduit le problème lors de tests sur une machine isolée.
Si quelqu’un avait exploité la faille avant sa correction, puis transféré les pièces créées vers une plateforme d’échange, les autres détenteurs auraient pu subir une pression vendeuse supplémentaire et une dilution de l’offre. Détenir ses XRP dans un portefeuille froid n’aurait pas protégé contre ce risque de baisse des cours.
Le 25 septembre, la version corrigée 3.4.1 a été publiée. Les développeurs n’ont pas rendu le code source public dans l’immédiat et ont demandé aux nœuds de l’installer rapidement. Justin Bons, fondateur de Cyber Capital, a vivement critiqué cette décision sur X, mettant en doute les engagements du projet en matière de décentralisation.
Je comprends cette intervention d’urgence : publier le code correctif aurait révélé la faille, tandis qu’un vote normal aurait nécessité d’attendre l’activation de la mise à jour, laissant ainsi une fenêtre aux attaquants.
En contrepartie, les nœuds ont dû faire confiance aux responsables de la publication sans pouvoir examiner pleinement le code source de cette version. Pendant la mise à niveau, les anciennes et les nouvelles versions auraient aussi pu réagir différemment à une transaction malveillante, voire entraîner une interruption du réseau. Le rapport de divulgation reconnaît ce risque, et le code source est désormais public.
Le risque de création monétaire indue, reproduit lors des tests, était suffisamment grave. Mais chaque intervention d’urgence de ce type doit être expliquée et faire l’objet d’un examen a posteriori. Le fait que les nœuds aient coopéré une fois ne signifie pas qu’ils devraient automatiquement faire de même à chaque fois.
#xrp #Ripple #加密货币
$XRP Cette faille était si grave que sa correction a contourné le vote habituel.
Le 9 octobre 2026, XRPL a révélé l’existence d’une faille remontant à 2015, qui permettait de créer des XRP dépensables à partir de rien. Selon l’équipe, rien n’indique qu’elle ait été exploitée sur le réseau public.
Le mécanisme était assez aberrant. Lorsqu’il additionnait les montants des ordres, le système de paiement pouvait traiter un nombre trop grand et revenir à une petite valeur. Le vendeur recevait le montant initial, mais l’acheteur n’était débité que d’une somme dérisoire : la différence se transformait alors en nouveaux XRP. Même le programme chargé de vérifier qu’il n’y avait pas eu de création monétaire utilisait le même calcul et se trompait lui aussi. L’équipe de développement a reproduit le problème lors de tests sur une machine isolée.
Si quelqu’un avait exploité la faille avant sa correction, puis transféré les pièces créées vers une plateforme d’échange, les autres détenteurs auraient pu subir une pression vendeuse supplémentaire et une dilution de l’offre. Détenir ses XRP dans un portefeuille froid n’aurait pas protégé contre ce risque de baisse des cours.
Le 25 septembre, la version corrigée 3.4.1 a été publiée. Les développeurs n’ont pas rendu le code source public dans l’immédiat et ont demandé aux nœuds de l’installer rapidement. Justin Bons, fondateur de Cyber Capital, a vivement critiqué cette décision sur X, mettant en doute les engagements du projet en matière de décentralisation.
Je comprends cette intervention d’urgence : publier le code correctif aurait révélé la faille, tandis qu’un vote normal aurait nécessité d’attendre l’activation de la mise à jour, laissant ainsi une fenêtre aux attaquants.
En contrepartie, les nœuds ont dû faire confiance aux responsables de la publication sans pouvoir examiner pleinement le code source de cette version. Pendant la mise à niveau, les anciennes et les nouvelles versions auraient aussi pu réagir différemment à une transaction malveillante, voire entraîner une interruption du réseau. Le rapport de divulgation reconnaît ce risque, et le code source est désormais public.
Le risque de création monétaire indue, reproduit lors des tests, était suffisamment grave. Mais chaque intervention d’urgence de ce type doit être expliquée et faire l’objet d’un examen a posteriori. Le fait que les nœuds aient coopéré une fois ne signifie pas qu’ils devraient automatiquement faire de même à chaque fois.
#xrp #Ripple #加密货币