Un bug qui serait présent dans le XRP Ledger depuis 2015 aurait pu créer des XRP à partir de rien. Il a été corrigé sans signe d’exploitation

Le XRP Ledger contenait un bug, apparemment depuis plus de dix ans, qui aurait pu permettre à un attaquant de créer des XRP à partir de rien, ont révélé ses développeurs vendredi. Un rapport publié sur xrpl.org fait remonter la faille au moteur de paiement écrit en 2015, indique qu’elle a été corrigée le mois dernier et affirme qu’il n’existe aucune preuve de son exploitation sur un quelconque réseau public.

Le problème était d’ordre arithmétique. Lorsqu’un seul paiement absorbait de nombreuses offres sur la plateforme d’échange intégrée du registre, le logiciel additionnait les XRP dus sans vérifier si le total était devenu trop grand pour être compté. Un total suffisamment élevé repartait à zéro et devenait un petit nombre. Les vendeurs étaient payés intégralement, l’acheteur n’était débité que du petit montant, et la différence constituait de nouveaux XRP. Le contrôle de sécurité censé détecter la création de XRP reposait sur la même somme erronée.

Un attaquant aurait eu besoin de quelques centaines de comptes, chacun proposant une infime quantité d’un jeton contre une très grande quantité de XRP. Le coût se limitait à quelques centaines de XRP de réserves de compte, qui sont restituées, plus les frais de transaction, indique le rapport.

Le chercheur Cayden Liao et Veria AI ont signalé le bug le 22 septembre. Des ingénieurs de RippleX, la branche développeurs de Ripple, l’ont reproduit et l’ont classé comme critique. Le correctif a été publié dans xrpld 3.4.1 le 25 septembre et a pris effet sur chaque serveur au fur et à mesure de sa mise à jour. Plus de 80 % des validateurs de la liste par défaut l’utilisaient le jour même.

L’offre de XRP est censée être fixée à 100 milliards, a relevé CoinDesk. Il est demandé aux opérateurs utilisant encore d’anciennes versions du logiciel de procéder à la mise à jour.