XRP Ledger : une faille vieille de dix ans permettait de créer des XRP à partir de rien

Ce qu’il faut retenir :

• Une faille du XRP Ledger datant de 2015 permettait de créer des XRP dépensables sans les financer.
• Les développeurs l’ont corrigée le 25 septembre avec la version 3.4.1 de xrpld, sans exploitation détectée.
• Le hacker éthique qui l’a signalée a touché une prime de 250 000 dollars, jugée trop faible par ZachXBT.

Le XRP Ledger (XRPL) a corrigé en urgence une faille qui permettait de créer des XRP à partir de rien, selon un rapport de sécurité publié vendredi dernier. Le bug, qui remonterait à 2015, autorisait un attaquant à générer de grandes quantités de XRP puis à les dépenser, en violation du plafond de 100 milliards de jetons inscrit dans le protocole. Un attaquant aurait pu revendre ces jetons sur les plateformes d’échange et faire voler en éclats la rareté sur laquelle comptent les institutions qui utilisent le réseau.

Le chercheur Cayden Liao, épaulé par Veria AI, a découvert la faille et l’a signalée en interne le 22 septembre. Les ingénieurs de RippleX, la branche développeurs de Ripple, ont reproduit l’attaque sur un serveur isolé. Ils ont confirmé que les XRP fabriqués pouvaient être dépensés dans une transaction suivante.

Le bug XRP a-t-il créé de nouveaux XRP ?

Selon Ripple non. RippleX n’a trouvé aucune trace d’exploitation de la faille sur un réseau public. La XRP Ledger Foundation affirme surveiller le registre en continu et avoir vérifié l’offre sur tout l’historique du réseau. Des membres de la communauté ont mené les mêmes contrôles.

Les 100 milliards de XRP ont tous été émis au lancement du registre en 2012, et le logiciel interdit d’en ajouter. Les frais de transaction sont détruits, ce qui rend l’offre déflationniste : environ 99,986 milliards de XRP existent aujourd’hui, selon la fondation. Toutes les balances sont publiques, donc un XRP créé en douce apparaîtrait aux yeux de tous.

Comment la faille permettait d’imprimer des XRP

L’attaque passait par la plateforme d’échange décentralisée intégrée au XRPL, un carnet d’ordres natif où des comptes publient des offres pour échanger un jeton contre un autre.

Le scénario tient en trois temps. L’attaquant ouvre des centaines de comptes. Chacun propose une infime quantité d’un jeton contre une quantité anormalement élevée de XRP. Un seul paiement rafle ensuite toutes ces offres d’un coup.

Le total de XRP dû devient alors trop grand pour que le logiciel le compte correctement. Les comptes vendeurs reçoivent la totalité de leur dû, tandis que le compte acheteur ne débourse presque rien. La différence : des XRP qui n’existaient pas auparavant.

Les garde-fous du réseau n’auraient pas bloqué l’opération. Le XRPL vérifie après chaque transaction qu’aucun XRP n’est apparu, mais ce contrôle s’appuyait sur le total mal calculé. La limite de XRP qu’un compte peut recevoir n’aurait pas joué non plus, puisque l’attaque répartissait les gains sur des centaines de comptes.

Le ticket d’entrée restait modeste : quelques centaines de XRP pour ouvrir les comptes, en grande partie récupérables, plus les frais de transaction. Selon la fondation, aucun paiement normal ne s’approche du déclencheur. Il fallait des centaines d’opérations construites dans ce but.

Pourquoi le correctif xrpld 3.4.1 a été déployé en silence

Les développeurs ont publié le correctif le 25 septembre dans xrpld 3.4.1, le logiciel serveur du registre, sans préciser ce qu’il réparait. La fondation assume ce choix : un correctif public indique aux attaquants où chercher. Avec un vote d’amendement classique, la correction serait restée visible plusieurs semaines avant d’entrer en vigueur.

La fondation, RippleX, les développeurs du protocole et les validateurs se sont donc accordés sur un déploiement direct. La nouvelle version a d’abord été transmise aux validateurs de l’UNL par défaut, la liste de nœuds de confiance (Unique Node List) recommandée aux opérateurs, via les contacts publiés dans leur fichier xrp-ledger.toml. Les binaires publics ont suivi le même jour.

La fondation insiste : aucune partie ne pouvait imposer seule cette décision. La version 3.4.1 n’est devenue obligatoire qu’au terme d’un vote d’amendement classique, avec plus de 80 % de soutien des validateurs pendant deux semaines.

Bug bounty XRP : une prime de 250 000 dollars contestée

L’enquêteur on-chain ZachXBT s’en prend à la XRP Ledger Foundation. Elle a versé 250 000 dollars de prime au hacker éthique à l’origine du signalement, alors que sa trésorerie se compte en milliards, selon lui.

Pour ZachXBT, une récompense aussi basse pousse le prochain attaquant à exploiter une faille de ce type pour des centaines de millions de dollars plutôt qu’à la signaler. Il estime que ce genre d’épisode explique pourquoi beaucoup ne prennent pas l’XRPL ni Ripple au sérieux. La fondation promet de renforcer son programme de bug bounty, sans avancer de montants.

L’IA accélère la chasse aux failles crypto

La faille du XRPL rejoint une série de vulnérabilités anciennes mises au jour avec l’aide de l’IA depuis juillet. Le bug du portefeuille Coldcard a permis le vol d’au moins 1 367 BTC. Des failles dans Core Lightning ont contraint ses développeurs à demander aux opérateurs de nœuds bitcoin de se déconnecter.

La XRP Ledger Foundation résume l’équation : « L’IA accélère la découverte de ces bugs, pour les attaquants comme pour les défenseurs ».

Ce qu’il faut surveiller

Avec RippleX et la communauté, la fondation annonce un recours à grande échelle à la vérification formelle, c’est-à-dire la preuve mathématique qu’un code respecte ses règles, et à des tests adverses menés par IA. Elle promet aussi une collaboration plus étroite avec les chercheurs en sécurité. Le montant des prochaines primes servira de test : si elles restent basses, les chercheurs pourraient se détourner du XRPL, et les attaquants trouver la prochaine faille en premier.