Une faille présente depuis 2015 dans le moteur de paiement du XRP Ledger aurait permis à un attaquant de créer des XRP (XRP) dépensables au‑delà du plafond d’offre de 100 milliards de tokens, selon les développeurs.
Points clés :
- Un chercheur utilisant un outil de cybersécurité dopé à l’IA a signalé, le 22 septembre, un bug de dépassement de capacité via le programme de bug bounty du réseau.
- Les développeurs ont livré un correctif trois jours plus tard, en court‑circuitant pour la première fois depuis plus de dix ans le vote habituel des validateurs.
- Les responsables du protocole n’ont trouvé aucun indice d’une exploitation effective de la faille.
Un bug de « fausse monnaie » sur XRP
Les mainteneurs du XRP Ledger ont divulgué la faille dans un rapport de vulnérabilité publié le 9 octobre, précisant qu’un chercheur l’avait signalée le 22 septembre via le programme de primes aux bugs du réseau. RippleX, le bras développeur de Ripple, l’a classée comme critique après avoir reproduit l’attaque. L’équipe affirme n’avoir décelé aucun signe d’exploitation passée.
La vulnérabilité se nichait dans le moteur de paiement, qui utilisait des opérations arithmétiques 64 bits non contrôlées pour calculer ce qu’un acheteur devait lorsqu’un unique paiement traversait simultanément de multiples ordres dans le carnet d’ordres.
En empilant des centaines d’ordres volontairement mal tarifés, le total dû pouvait dépasser la limite numérique, « boucler » et revenir à une valeur dérisoire : les vendeurs étaient ainsi payés intégralement, tandis que l’acheteur ne versait quasiment rien. Le mécanisme interne de contrôle de création de nouveaux XRP reposait sur la même arithmétique, ce qui lui a fait ignorer entièrement ces jetons contrefaits.
À lire aussi : GPT-6.1 Sol a permis de réduire par 76 les coûts d’agents d’Asana, mais il y a un revers
Les explications de Cayden Liao
Cayden Liao, cofondateur sécurité de Veria Labs, a indiqué sur X que l’agent IA de la société avait identifié la faille et mis au point un exploit fonctionnel. Selon ses calculs, une seule transaction aurait pu frapper environ 18 000 milliards de XRP. Il pense que la vulnérabilité est passée sous le radar pendant des années parce qu’elle « combine deux bugs qui, pris isolément, seraient de faible gravité ».
Liao précise que Ripple a versé à Veria la prime maximale du programme, soit 250 000 dollars. J. Ayo Akinyele, responsable de l’ingénierie chez RippleX, a indiqué que l’équipe allait étendre le recours à la chasse aux bugs assistée par IA et à la vérification formelle, estimant que l’IA « change fondamentalement la vitesse à laquelle les vulnérabilités peuvent être découvertes ».
Un correctif d’urgence sur XRPL
Le correctif a été livré dans la version 3.4.1 de xrpld le 25 septembre, trois jours après le signalement. Plus de 80 % des validateurs de confiance l’avaient déjà déployé ce jour‑là, et la modification est entrée en vigueur sans le vote d’amendement habituel de deux semaines, une première depuis plus de dix ans. Les développeurs estiment qu’en suivant le processus standard, la publication du code open source aurait donné aux attaquants une visibilité sur le bug pendant plusieurs semaines avant l’activation effective du patch.
En 2010, un bug de dépassement de capacité sur Bitcoin (BTC) avait généré plus de 184 milliards de coins en une seule transaction, avant que les développeurs ne corrigent le problème en quelques heures et ne forquent la chaîne pour effacer ces unités. Zcash (ZEC) a également dû colmater dans l’urgence une faille de contrefaçon cette année, un épisode qui a lourdement pesé sur le cours de son token.
