Le moteur de paiement du XRP Ledger cachait une faille de contrefaçon depuis 2015

En bref

• Les responsables du XRP Ledger ont divulgué et corrigé un bug critique de dépassement de capacité du moteur de paiement, signalé via une prime aux bugs en septembre, qui aurait pu permettre à un attaquant de créer des XRP contrefaits.
• La faille est passée inaperçue depuis 2015 car aucun paiement normal ne la déclenche, et le contrôle de sécurité « aucun XRP créé » du registre utilisait la même arithmétique défectueuse.
• Il n'y a aucune preuve que le bug ait jamais été exploité, selon les développeurs du XRP Ledger.

Les développeurs derrière le XRP Ledger ont divulgué et corrigé une vulnérabilité critique qui, si elle n'avait pas été traitée, aurait pu permettre à un attaquant de créer des XRP à partir de rien, une faille restée latente dans le code du réseau pendant environ une décennie.

Dans une divulgation publiée vendredi, les responsables du registre ont déclaré qu'un chercheur avait signalé le bug via le programme de prime aux bugs du XRPL en septembre. Le problème était un dépassement d'entier dans le moteur de paiement, la partie du logiciel qui traite les paiements.

Lorsqu'un paiement unique consommait des centaines d'offres spécialement conçues dans le carnet d'ordres, la somme due par l'acheteur dépassait la valeur maximale que le système pouvait stocker et « bouclait » sur un nombre minuscule. Le moteur payait chaque vendeur en totalité mais ne facturait presque rien à l'acheteur, la différence correspondant à des XRP nouvellement créés qui n'auraient jamais dû exister.