Les développeurs du XRP Ledger ont justifié le correctif de sécurité d’urgence mis en place pour remédier à un bogue pouvant créer des XRP au-delà de l’offre fixe du réseau, affirmant qu’ils ne pouvaient pas attendre le vote habituel de deux semaines des validateurs sans exposer la faille aux attaquants. Ce correctif, déployé le 25 septembre, a été publié trois jours après un rapport de bug bounty et a pris effet immédiatement sur tout serveur qui l’a installé.
Une première depuis plus de dix ans
Ce fut la première fois qu’un contournement délibéré du processus de modification normal a eu lieu depuis l’introduction du système il y a plus de dix ans. Selon les développeurs de XRPL, un vote de modification normal aurait rendu le correctif public pendant des semaines avant de pouvoir être appliqué, mettant ainsi en péril la sécurité du réseau.
Questions sur la décentralisation
Ce correctif accéléré a suscité des interrogations concernant le niveau de décentralisation du XRPL. Sur son site, le XRPL se présente comme une blockchain publique entièrement décentralisée, une caractérisation qui a été au cœur des arguments affirmant que son jeton natif, le XRP, n’est pas un titre. Le fondateur de Cyber Capital, Justin Bons, a déclaré que promouvoir le XRP auprès des investisseurs de détail comme décentralisé relevait de la « fraude ». Il a soutenu que la publication d’urgence du 25 septembre avait été réalisée uniquement sous forme binaire, retardant temporairement le code source et exerçant une pression sur les opérateurs pour qu’ils effectuent une mise à jour.
Une décision commune à plusieurs parties
Cependant, la Fondation XRPL a précisé que la décision de sauter le processus normal d’amendement avait été prise conjointement par la fondation, RippleX, les développeurs principaux et les validateurs après une évaluation de la gravité du bogue. Aucune partie unique ne pouvait prendre cette décision seule. Chaque validateur et opérateur de nœud choisit le logiciel qu’il utilise, et la version 3.4.1 n’est devenue requise qu’à travers un vote d’amendement normal avec plus de 80 % de soutien des validateurs pendant deux semaines.
Un bogue potentiellement dangereux
Le bogue était un débordement d’entier dans le moteur de paiement du XRP Ledger, présent depuis 2015. Les soldes XRP sont stockés en tant qu’entiers de 64 bits avec un maximum fixe. Lorsque la somme dépassait ce maximum, le calcul revenait à un nombre plus petit plutôt que d’échouer. Un attaquant pouvait en tirer parti en créant des offres spéciales, chacune demandant une quantité très importante de XRP, puis en effectuant un unique paiement qui consommait toutes ces offres. Le moteur créditerait alors chaque propriétaire d’offre de son montant total en facturant l’acheteur uniquement le petit total enveloppé, générant ainsi des XRP nouvellement créés et dépensables.
Les développeurs ont déclaré n’avoir trouvé aucune preuve que cette question avait été exploitée sur un réseau public.