Une faille présente dans le moteur de paiement du XRP Ledger depuis 2015 aurait permis à un attaquant de créer des XRP (XRP) dépensables au‑delà du plafond d’émission de 100 milliards, selon les développeurs.
À retenir :
- Un chercheur utilisant un outil de cybersécurité dopé à l’IA a signalé, le 22 septembre, un bug de dépassement de capacité via le programme de bug bounty du réseau.
- Les développeurs ont déployé un correctif trois jours plus tard, en court‑circuitant pour la première fois depuis plus de dix ans le vote habituel des validateurs.
- Les mainteneurs affirment n’avoir trouvé aucun indice d’exploitation de la faille.
Un bug de faux‑monnayage sur XRP
Les mainteneurs du XRP Ledger ont divulgué cette vulnérabilité dans un rapport publié le 9 octobre, précisant qu’un chercheur l’avait remontée le 22 septembre via le programme de récompense aux découvreurs de bugs. RippleX, la branche développement de Ripple, l’a classée « critique » après avoir reproduit l’attaque. L’équipe assure n’avoir trouvé aucun signe d’exploitation passée.
La faille résidait dans le moteur de paiement, qui additionnait les montants dus par un acheteur à l’aide d’opérations 64 bits non vérifiées lorsqu’un seul paiement consommait simultanément de nombreuses offres dans le carnet d’ordres.
Des centaines d’offres volontairement mal pricées pouvaient faire dépasser au total sa valeur maximale, le faisant « boucler » vers un montant minuscule : les vendeurs étaient payés intégralement, tandis que l’acheteur ne réglait quasiment rien. Le mécanisme de sécurité interne du registre, censé empêcher la création de nouveaux XRP, s’appuyait sur la même arithmétique et a donc laissé passer ces unités contrefaites sans les détecter.
À lire aussi : GPT-6.1 Sol a permis de réduire par 76 le coût des agents d’Asana, mais voilà le revers de la médaille
Les explications de Cayden Liao
Cayden Liao, cofondateur sécurité de Veria Labs, a expliqué sur X que l’agent d’IA de la société avait identifié le bug et élaboré un exploit fonctionnel. Selon ses calculs, une seule transaction aurait pu « frapper » environ 18 000 milliards de XRP. Il estime que la faille est passée sous les radars parce qu’elle « enchaîne deux bugs qui, pris isolément, seraient de faible gravité ».
Liao indique que Ripple a versé à Veria la prime maximale du programme, soit 250 000 dollars. J. Ayo Akinyele, responsable de l’ingénierie chez RippleX, a annoncé que l’équipe allait élargir le recours à la chasse aux bugs assistée par IA et à la vérification formelle, soulignant que l’IA « change fondamentalement la vitesse à laquelle les vulnérabilités peuvent être découvertes ».
Patch d’urgence sur XRPL
Le correctif a été livré dans la version 3.4.1 de xrpld le 25 septembre, soit trois jours après le signalement. Plus de 80 % des validateurs de confiance l’ont adopté dans la journée, et la modification est entrée en vigueur sans le vote d’amendement habituel de deux semaines, une première en plus d’une décennie. Les développeurs défendent ce contournement de procédure en expliquant qu’une publication en open source suivant le calendrier normal aurait offert aux attaquants une fenêtre de plusieurs semaines pour analyser la faille avant l’activation du patch.
En 2010, un bug de dépassement de capacité sur Bitcoin (BTC) avait généré plus de 184 milliards de pièces en une seule transaction, avant que les développeurs ne corrigent le problème en quelques heures et ne procèdent à un fork pour les effacer de la chaîne. Zcash (ZEC) a lui aussi dû colmater en urgence cette année une faille de faux‑monnayage, un épisode qui a fortement pesé sur le cours de son token.
