XRP Ledger défend un correctif d'urgence pour une faille XRP illimitée

Détails

La Fondation XRP Ledger a rejeté les affirmations selon lesquelles son correctif de sécurité d'urgence aurait été imposé aux opérateurs du réseau.

Les développeurs de XRP Ledger ont défendu le correctif de sécurité d'urgence utilisé pour corriger une faille capable de créer des XRP au-delà de l'offre fixe du réseau, affirmant qu'ils ne pouvaient pas attendre le vote habituel des validateurs sur deux semaines sans exposer la faille aux attaquants.

Le correctif, publié le 25 septembre, est intervenu trois jours après un rapport de bug bounty et a pris effet immédiatement sur tout serveur qui l'a installé. Il s'agissait du premier contournement délibéré de la procédure normale d'amendement depuis l'introduction du système il y a plus de dix ans, ont-ils déclaré.

« Avec un vote d'amendement normal, le correctif aurait été public pendant des semaines avant de prendre effet, ce qui aurait mis en danger la sécurité du réseau », ont déclaré les développeurs de XRPL dans un post X dimanche.

Le correctif accéléré a soulevé des questions sur le niveau de décentralisation de XRPL. Sur son site web, XRPL affirme qu'il s'agit d'une blockchain publique entièrement décentralisée — une caractérisation qui a été centrale dans les arguments selon lesquels son jeton natif, XRP, n'est pas un titre financier.

Le correctif de sécurité de XRPL « a soulevé beaucoup de questions »

Le fondateur de Cyber Capital, Justin Bons, a déclaré jeudi que commercialiser XRP auprès des investisseurs particuliers comme décentralisé équivalait à une « pure fraude ». Il a soutenu que la version d'urgence du 25 septembre avait été livrée uniquement sous forme de binaires, avait temporairement retenu le code source et fait pression sur les opérateurs pour qu'ils effectuent la mise à niveau.

Cependant, la Fondation XRPL a déclaré que la décision de contourner la procédure normale d'amendement avait été prise conjointement par la Fondation, RippleX, les développeurs principaux et les validateurs après avoir évalué la gravité de la faille.

« Aucune partie ne pouvait prendre cette décision seule. Chaque validateur et opérateur de nœud choisit le logiciel à exécuter, et la version 3.4.1 n'est devenue obligatoire que par un vote d'amendement normal avec plus de 80 % de soutien des validateurs pendant deux semaines. Les changements de protocole passent toujours par des amendements », a déclaré la fondation.

À lire aussi : Ledger confirme un implant matériel non autorisé et affirme que les pertes pourraient dépasser 86 M$

XRP Kuwait, un opérateur de validateur indépendant, a également rejeté les affirmations selon lesquelles les mises à niveau coordonnées signalaient un contrôle centralisé.

« Nous ne sommes pas d'accord avec l'affirmation selon laquelle la coordination d'une mise à jour par les opérateurs constitue en soi une preuve de contrôle centralisé », a-t-il déclaré. « La coordination n'est pas la même chose que le contrôle. Des opérateurs indépendants peuvent évaluer une situation, communiquer entre eux et parvenir à la même conclusion sans renoncer à leur indépendance. »

La faille était un dépassement d'entier dans le moteur de paiement du XRP Ledger, présent depuis 2015, selon le rapport de divulgation de vulnérabilité du projet.

Les soldes XRP sont stockés sous forme d'entiers de 64 bits avec un maximum fixe. Lorsqu'une somme dépassait ce maximum, le calcul revenait à un nombre plus petit au lieu d'échouer.

Un attaquant pouvait exploiter cela en créant des centaines d'offres à des prix spéciaux, chacune demandant une très grande quantité de XRP, puis en envoyant un seul paiement qui les consommait toutes.

Le moteur créditait chaque propriétaire d'offre de son montant total, mais ne facturait à l'acheteur que le minuscule total après dépassement. La différence devenait des XRP nouvellement créés et dépensables.

L'attaque nécessitait des offres délibérément construites et ne pouvait pas être déclenchée par une activité de trading normale, selon le rapport. Les développeurs ont déclaré n'avoir trouvé aucune preuve que le problème ait été exploité sur un réseau public.

Magazine : L'attaque Ledger s'étend à l'UE, l'IA découvre une faille de « 18 000 milliards de XRP » : Hodler's Digest

Abonnez-vous aux actualités crypto quotidiennes et concises de Cointelegraph

Un associé de Dragonfly rejette le doomérisme du « mode bunker » et appelle à des mesures blockchain proactives

L'administration Trump présente ses initiatives en matière de quantique et d'IA dans le cadre d'un effort scientifique de 6 Mds $

« Pas de retour en arrière » pour les institutions qui se tournent vers un avenir onchain tokenisé, selon Fidelity

Un associé de Dragonfly rejette le doomérisme du « mode bunker » et appelle à des mesures blockchain proactives

L'administration Trump présente ses initiatives en matière de quantique et d'IA dans le cadre d'un effort scientifique de 6 Mds $

« Pas de retour en arrière » pour les institutions qui se tournent vers un avenir onchain tokenisé, selon Fidelity

Saylor tease des achats de Bitcoin par Strategy après avoir terminé septembre avec des rachats de STRC

Ledger confirme un implant matériel non autorisé et affirme que les pertes pourraient dépasser 86 M$

La France est l'endroit le plus dangereux au monde pour les Bitcoiners : 90 attaques en 7 mois

Crypto Biz : Les investisseurs fortunés achètent des cryptos, mais leurs conseillers ne sont pas convaincus

Coldcard dit enquêter sur la façon dont un lien de phishing est apparu sur son compte X

Cointelegraph s'engage à fournir un journalisme indépendant et de haute qualité dans les secteurs de la crypto, de la blockchain, de l'IA et de la fintech.

Toutes les actualités, critiques et analyses sont produites avec une indépendance et une intégrité journalistiques totales. Pour plus de détails sur nos normes et processus, veuillez lire notre Politique éditoriale .

Cryptomonnaies associées

XRP

Source

Cointelegraph RSS