L'enquêteur blockchain ZachXBT a critiqué la récompense de 250 000 $ versée aux chercheurs ayant découvert une vulnérabilité critique du XRP Ledger, estimant que le paiement était disproportionnellement faible par rapport aux dommages potentiels que la faille aurait pu causer.

Dans un message du 12 octobre sur X, ZachXBT s'est demandé pourquoi un chercheur ayant responsablement divulgué une vulnérabilité capable de créer du XRP au-delà de l'offre prévue n'avait reçu qu'un quart de million de dollars.

« Payer aussi peu le whitehat 250 K$ pour un bug critique d'approvisionnement infini en XRP alors que votre trésorerie compte des milliards ? », a-t-il écrit.

Il a averti qu'une rémunération inadéquate pourrait décourager les divulgations futures et potentiellement pousser des acteurs malveillants à exploiter les vulnérabilités plutôt qu'à les signaler. ZachXBT a également mis en doute la crédibilité de Ripple et de l'écosystème XRP Ledger au sens large concernant leur approche des incitations à la sécurité. Le montant des récompenses est un sujet de débat récurrent en sécurité logicielle, où les plafonds de primes sont généralement fixés à l'avance par l'organisation sponsor, tandis que le coût potentiel d'une faille non corrigée peut être bien plus élevé.

250 000 $ était la récompense maximale disponible

La critique a fait suite à une réponse de la XRP Ledger Foundation traitant de la vulnérabilité et de sa remédiation d'urgence.

Les chercheurs en sécurité Cayden Liao et Veria AI ont découvert la faille le 21 septembre et l'ont soumise le lendemain via le programme XRPL Bug Bounty. Veria Labs a confirmé le 8 octobre avoir reçu 250 000 $, le montant maximum disponible dans le cadre du programme, et a indiqué qu'un agent de sécurité IA avait identifié la vulnérabilité et généré une preuve de concept fonctionnelle. Les programmes de bug bounty de ce type constituent un mécanisme industriel standard de récompense de la divulgation responsable, avec des limites de paiement fixées par le sponsor du programme.

L'entreprise a estimé qu'une seule transaction malveillante aurait pu créer environ 18 000 milliards de XRP — plus de 180 fois l'offre initiale de 100 milliards de la cryptomonnaie. Veria Labs a également décrit ce paiement comme la plus grande prime qu'il connaisse pour une vulnérabilité découverte entièrement par un agent IA.

La critique de ZachXBT porte sur l'écart entre le plafond de récompense et les conséquences économiques potentielles d'une attaque. Son avertissement concerne les incitations auxquelles font face les futurs chercheurs, et non une quelconque allégation selon laquelle l'équipe à l'origine de cette divulgation aurait agi de manière impropre.

Le bug du X Ledger existait depuis 2015

Le paiement contesté concerne une vulnérabilité critique du moteur de paiement restée non détectée pendant plus d'une décennie. La faille impliquait un dépassement d'entier — une classe de bug survenant lorsqu'un calcul dépasse la valeur maximale qu'un champ numérique peut stocker — pouvant être déclenché lorsqu'un paiement spécialement conçu consommait des centaines d'offres sur l'échange décentralisé du XRP Ledger.

Un attaquant pouvait manipuler le calcul afin que les propriétaires d'offres reçoivent la totalité de leurs montants en XRP tandis que le compte payeur n'était débité que d'une petite fraction du total. Un dispositif de protection conçu pour empêcher la création non autorisée de XRP souffrait du même problème de dépassement.

La divulgation officielle de la vulnérabilité confirme que les ingénieurs de RippleX ont reproduit l'exploit dans un environnement de test isolé et vérifié que le XRP nouvellement créé pouvait ensuite être dépensé. Aucune preuve d'exploitation sur un réseau public du XRP Ledger n'a été trouvée.

Correctif d'urgence déployé en trois jours

RippleX a publié la mise à jour corrective dans xrpld version 3.4.1 le 25 septembre, trois jours après la réception du rapport. La réponse d'urgence a contourné le processus habituel de vote des amendments — par lequel les validateurs votent généralement sur les changements de protocole — car les développeurs ont jugé que laisser la vulnérabilité exposée était nettement plus dangereux que de déployer immédiatement un correctif sensible au consensus.

Plus de 80 % des validateurs de la Unique Node List par défaut avaient effectué la mise à jour à la date de publication, protégeant le réseau contre la vulnérabilité de création d'offre.

Les chercheurs ont reçu leur récompense près de deux semaines plus tard, et la divulgation technique complète a été rendue publique le 9 octobre. Cette séquence — rapport privé, correctif d'urgence, paiement, puis divulgation publique complète — suit le modèle de divulgation coordonnée de vulnérabilités largement utilisé en sécurité logicielle, destiné à laisser aux opérateurs du réseau le temps de mettre à jour avant la publication des détails de l'exploit. Le paiement de 250 000 $ demeure la prime maximale confirmée accordée par le programme pour cette découverte.