Les développeurs du XRP Ledger ont défendu le correctif de sécurité d’urgence utilisé pour corriger un bug capable de créer des XRP au-delà de l’offre fixe du réseau. Ils ont expliqué qu’ils ne pouvaient pas attendre le vote habituel des validateurs du réseau, qui dure deux semaines, sans exposer la faille aux attaquants.
Le correctif, publié le 25 septembre, est arrivé trois jours après un signalement dans le cadre d’un programme de bug bounty et a pris effet immédiatement sur tout serveur qui l’a installé. Selon eux, il s’agissait du premier contournement délibéré de la procédure normale de modification depuis l’introduction du système, il y a plus de dix ans.
« Avec un vote de modification ordinaire, la correction aurait été rendue publique plusieurs semaines avant son entrée en vigueur, ce qui aurait mis en péril la sécurité du réseau », ont déclaré les développeurs du XRPL dans une publication sur X dimanche.
La correction accélérée a soulevé des questions sur le degré de décentralisation du XRPL. Sur son site Web, le XRPL affirme être une blockchain publique entièrement décentralisée — une caractérisation au cœur des arguments selon lesquels son jeton natif, le XRP, n’est pas un titre financier.
La correction de sécurité du XRPL a « soulevé beaucoup de questions »
Jeudi, Justin Bons, fondateur de Cyber Capital, a déclaré que présenter le XRP aux investisseurs particuliers comme étant décentralisé relevait de la « pure fraude ». Il a soutenu que la version d’urgence publiée le 25 septembre n’était disponible que sous forme de fichiers binaires, que le code source avait été temporairement retenu et que les opérateurs avaient subi des pressions pour effectuer la mise à niveau.
Toutefois, la XRPL Foundation a déclaré que la décision de ne pas suivre la procédure de modification habituelle avait été prise conjointement par la fondation, RippleX, les développeurs principaux et les validateurs, après évaluation de la gravité du bug.
« Aucune partie ne pouvait prendre cette décision à elle seule. Chaque validateur et opérateur de nœud choisit le logiciel qu’il utilise, et la version 3.4.1 n’est devenue obligatoire qu’à la suite d’un vote de modification ordinaire, avec le soutien de plus de 80 % des validateurs pendant deux semaines. Les changements de protocole passent toujours par des modifications », a déclaré la fondation.
XRP Kuwait, un opérateur indépendant de validateurs, a également rejeté les affirmations selon lesquelles les mises à niveau coordonnées étaient le signe d’un contrôle centralisé.
« Nous contestons l’affirmation selon laquelle la coordination d’une mise à jour par les opérateurs constitue, en soi, une preuve de contrôle centralisé », a-t-il déclaré. « La coordination n’est pas synonyme de contrôle. Des opérateurs indépendants peuvent évaluer une situation, communiquer entre eux et parvenir à la même conclusion sans renoncer à leur indépendance. »
Le bug aurait pu permettre de créer une quantité illimitée de XRP
Selon le rapport de divulgation de vulnérabilité du projet, le bug était un dépassement d’entier dans le moteur de paiement du XRP Ledger, présent depuis 2015.
Les soldes en XRP sont stockés sous forme d’entiers de 64 bits, avec une limite maximale fixe. Lorsqu’une somme dépassait cette limite, le calcul revenait à un nombre plus petit au lieu d’échouer.
Un attaquant aurait pu exploiter cette faille en créant des centaines d’offres à prix spécialement fixé, chacune demandant une très grande quantité de XRP, puis en envoyant un seul paiement qui les aurait toutes consommées.
Le moteur créditerait chaque propriétaire d’offre du montant total de celle-ci, mais ne facturerait à l’acheteur que le minuscule total obtenu après dépassement de capacité. La différence serait constituée de XRP nouvellement créés et utilisables.
Selon le rapport, l’attaque nécessitait des offres conçues délibérément à cet effet et ne pouvait pas être déclenchée par des opérations de trading ordinaires. Les développeurs ont déclaré n’avoir trouvé aucune preuve que le problème ait été exploité sur un réseau public.
Magazine : l’attaque contre Ledger s’étend à l’UE, une IA découvre un bug de « 18 000 milliards de XRP » : le Hodler’s Digest