Le XRP Ledger (XRPL) a corrigé une vulnérabilité critique qui aurait potentiellement existé depuis 2015 environ. La faille, découverte par les chercheurs en sécurité Cayden Liao et Veria Labs, aurait théoriquement pu permettre à un attaquant de créer environ 18 450 milliards de XRP dépensables au moyen d’une transaction spécialement conçue, soit bien plus que le plafond officiel de 100 milliards de jetons du réseau. Toutefois, les enquêteurs n’ont trouvé aucune preuve que la vulnérabilité ait jamais été exploitée.
Le problème concernait un dépassement d’entier dans le moteur de traitement des paiements du XRPL, qui pouvait entraîner un calcul incorrect des paiements pour les transactions complexes impliquant plusieurs offres du carnet d’ordres. Lors d’un test contrôlé, la faille a montré qu’elle pouvait permettre de rémunérer intégralement les vendeurs tout en facturant presque rien aux acheteurs. Plus inquiétant encore, le mécanisme de protection de l’offre reposait sur les mêmes calculs défectueux, ce qui aurait pu permettre à la création non autorisée de XRP de passer inaperçue.
Après avoir reçu le signalement de la vulnérabilité le 22 septembre, les ingénieurs de RippleX ont reproduit le problème, l’ont classé comme critique et ont publié un correctif d’urgence via la version 3.4.1 de xrpld le 25 septembre. Plus de 80 % des validateurs auraient adopté la mise à jour le jour même. Afin de réduire au minimum le risque d’exploitation, les développeurs ont contourné le processus habituel d’amendement de XRPL, qui nécessite généralement le soutien continu des validateurs pendant environ deux semaines.
RippleX et la XRP Ledger Foundation ont toutes deux confirmé qu’aucune création non autorisée de XRP n’avait été détectée et que le plafond de 100 milliards de XRP en circulation restait intact. L’incident a néanmoins soulevé des questions sur l’équilibre entre la gouvernance décentralisée et la nécessité d’intervenir rapidement en matière de sécurité.
En réponse, Ripple prévoit de renforcer son programme de chasse aux bogues, d’étendre l’analyse de code assistée par l’IA et d’introduire la vérification formelle des composants critiques du registre. Ces mesures visent à détecter plus tôt des vulnérabilités similaires et à renforcer la confiance dans la sécurité de XRPL.
En définitive, cet incident rappelle que même les réseaux blockchain bien établis peuvent présenter des vulnérabilités persistantes. Bien que la faille ait été corrigée avant toute exploitation connue, la poursuite des audits de sécurité, le suivi transparent de l’offre et des procédures claires de gouvernance d’urgence resteront essentiels pour préserver la confiance dans le XRP Ledger. #xrp $XRP
