Ripple réagit à un bug critique du XRP qui menaçait l'offre fixe

Ripple réagit à une menace pesant sur l’offre fixe de XRP

Une faille critique aurait pu permettre la création non autorisée de XRP, ce qui a poussé Ripple à renforcer la sécurité sur l’ensemble du XRP Ledger (XRPL). J. Ayo Akinyele, directeur senior de l'ingénierie chez RippleX, la division de Ripple chargée du développement de la blockchain publique, a présenté les mesures prises et les priorités en matière de sécurité sur X le 10 octobre, à la suite de la divulgation de la vulnérabilité la veille.

Veria AI, un système de détection des vulnérabilités développé par la société de sécurité Veria Labs, a permis de mettre au jour le problème grâce au programme de prime aux bogues du réseau, qui récompense les chercheurs signalant des failles. M. Akinyele a déclaré :

« Ce bug existait dans le code depuis plus d’une décennie et aurait pu permettre la création de XRP au-delà de son offre fixe. »

Cette création potentielle de jetons non autorisés menaçait la limite fixée lors de la création des 100 milliards de XRP à la mise en place du réseau. Le système de transactions du XRP Ledger repose sur des validateurs qui s’accordent sur la validité et l’ordre des paiements plutôt que sur le minage de nouvelles cryptomonnaies. Akinyele a expliqué que les développeurs avaient testé le correctif de manière approfondie et coordonné des mises à jour rapides avec ces opérateurs avant la divulgation publique.

Comment le bug aurait pu générer des XRP non autorisés

Le moteur de paiement pouvait calculer de manière erronée les montants dus dans le cadre d’offres de transaction spécialement conçues, permettant ainsi aux vendeurs de recevoir plus de XRP que ce que l’acheteur avait payé. La faille de débordement du moteur de paiement impliquait un calcul arithmétique dépassant sa limite numérique et renvoyant un total incorrectement faible. Le correctif a été déployé le 25 septembre dans la version 3.4.1 de xrpld, une version du logiciel serveur qui traite les transactions et gère les enregistrements du grand livre. Les enquêteurs n’ont trouvé aucune preuve d’exploitation sur le réseau public.

Cette découverte a également renforcé l’intérêt de Ripple pour l’intelligence artificielle et la nécessité d’identifier plus rapidement les failles. Le dirigeant de Ripple a souligné :

« L’IA modifie fondamentalement la rapidité avec laquelle les vulnérabilités peuvent être découvertes. »

Sa réponse appelle à des programmes de primes plus ambitieux, à des recherches assistées par l’IA élargies et à des tests adversariaux, qui simulent des attaques pour mettre en évidence les défauts. Une « red team » interne, composée de spécialistes menant des attaques contrôlées, soutient ce travail.

Ces priorités s’appuient sur les efforts proactifs de Ripple en matière de sécurité par l’IA, notamment l’analyse et la révision du code visant à détecter les problèmes dès les premières phases de développement. En collaboration avec des chercheurs externes et la Fondation XRPL, l’équipe réexaminera les hypothèses établies de longue date concernant les paiements, la validation des transactions et la communication entre serveurs. Une évaluation actualisée des menaces potentielles guidera ces examens.

Ripple cible les risques au-delà des bugs individuels

Ripple entend également accélérer les vérifications mathématiques grâce à sa collaboration avec Common Prefix, une société de recherche et développement spécialisée dans la blockchain, et la Fondation XRPL. Leurs travaux consistent à appliquer la vérification formelle au logiciel XRP Ledger afin d’évaluer si le comportement modélisé respecte les règles définies. Akinyele a expliqué que cette approche pourrait mettre au jour des problèmes plus profonds que d’autres méthodes de test pourraient ne pas détecter.

Les travaux de vérification existants sur le protocole de prêt et le « Single Asset Vault » serviront de base à cette extension. La conception du protocole de prêt XRPL permettrait de gérer les prêts et les remboursements sur le registre, tandis que l’évaluation des emprunteurs s’effectuerait en dehors de celui-ci. La disponibilité sur le mainnet dépend de l’activation des amendements requis, c’est-à-dire des modifications des règles du réseau approuvées par les validateurs.

Le « vault » associé est conçu pour regrouper un type d’actif provenant des déposants, soutenant ainsi les pools de capitaux institutionnels sur le XRPL à des fins de prêt et d’autres fonctions. Akinyele a établi un lien entre l’utilisation croissante de l’infrastructure financière et une responsabilité accrue, et s’est engagé à poursuivre les investissements avec la communauté. Il a souligné :

« Notre objectif n’est pas simplement de trouver davantage de failles. Il s’agit de traiter systématiquement les risques sous-jacents et de rendre le XRPL plus difficile à exploiter. »