L'enquêteur blockchain ZachXBT a déclaré lundi que les 250 000 $ versés par Ripple à la société de sécurité Veria Labs pour la découverte d'une faille qui aurait pu frapper des milliers de milliards de XRP étaient bien trop faibles — un paiement qui a relancé ses critiques de longue date sur la manière dont l'entreprise traite les chercheurs en sécurité.

ZachXBT : les chercheurs sont lésés

Dans un post sur X du 12 octobre, ZachXBT a critiqué les 250 000 $ attribués à Veria Labs, écrivant que cette découverte « devrait rapporter au minimum un chèque à sept chiffres » pour la société et son cofondateur Cayden Liao.

Il a décrit ce paiement comme faisant partie d'une tendance d'« organisations bien capitalisées » lésant les chercheurs en sécurité white hat. Un quart de million de dollars était trop peu, a-t-il soutenu, quand la « trésorerie de l'organisation payeuse se compte en milliards », et il a averti que des récompenses trop minces pourraient tenter la prochaine personne découvrant une telle faille de l'exploiter plutôt que de la divulguer.

Liao a offert une perspective différente, indiquant que Ripple avait versé à Veria le montant maximal de 250 000 $ du programme de bug bounty et affirmant qu'il s'agissait de la plus grande somme jamais attribuée pour une vulnérabilité découverte entièrement par un agent d'IA.

Un bug qui aurait pu créer 18 450 milliards de XRP

Veria Labs a découvert un dépassement d'entier critique dans le moteur de paiement du XRP Ledger, le code qui règle les transactions contre le carnet d'ordres intégré au réseau. Lorsqu'un seul paiement remplissait de nombreuses offres à la fois, le moteur additionnait les montants sans vérifier de dépassement. Un total suffisamment important revenait en arrière pour devenir un nombre minuscule, les vendeurs étant payés en totalité tandis que l'acheteur ne se voyait facturer que ce reliquat négligeable.

Cette différence équivalait à du XRP nouvellement créé, pouvant être dépensé comme n'importe quel autre. Le registre dispose bien d'un contrôle de sécurité, « XRPNotCreated », conçu pour bloquer toute transaction créant de nouvelles pièces, mais ce contrôle contenait lui-même un bug similaire et n'a pas détecté le déséquilibre. L'incident impliquait donc à la fois le calcul des paiements et le dispositif de protection destiné à empêcher toute émission non autorisée.

Selon Veria, son agent d'IA a enchaîné les deux bugs — introduits respectivement en novembre 2015 et février 2017 — en une preuve de concept fonctionnelle. En une seule transaction, il a crédité 18 450 milliards de XRP répartis sur 256 comptes, soit environ 184 fois l'offre fixe de 100 milliards de tokens du XRP. Veria a estimé que les fonds en risque étaient proches de la totalité de la valeur de marché du token, soit 94 milliards de dollars, sur la base d'un prix de 1,59 $. Les développeurs n'ont trouvé aucun signe d'exploitation de la faille en conditions réelles. Le rapport de divulgation de Ripple a expliqué que mener l'attaque à bien aurait nécessité des centaines d'offers à des prix qu'aucun trader réel n'utiliserait.

Veria a signalé la faille le 22 septembre via le programme de bug bounty du XRPL et a reçu la récompense de 250 000 $. Enрирен

Un précédent de 1,5 million de dollars sur Zcash

Pour arguer contre le paiement de Ripple, ZachXBT a évoqué les 1,5 million de dollars attribués par Zcash au chercheur Taylor Hornby. Hornby avait révélé un bug de contrefaçon dans le shielded pool Orchard de Zcash, une faille mettant en risque environ 2,3 milliards de dollars de ZEC, et avait reçu une prime de 750 000 $ ainsi qu'une subvention bonus équivalente de 750 000 $ approuvée par les détenteurs de pièces lors d'un cycle de financement rétroactif du troisième trimestre ayant distribué environ 8,39 millions de dollars au total.

Jason McGee, directeurécutif de Shielded Labs, qui a déposé la nomination bonus, a soutenu que la prime initiale ne représentait qu'environ 0,033 % des fonds en risque, contre un précédent le plus bas de 0,24 %. Une récompense plus élevée, a-t-il écrit, était une « assurance bon marché » pour le protocole. Comme la découverte de Veria, celle de Hornby avait été assistée par IA.

Un correctif déployé hors du processus d'amendment

RippleX, la branche d'ingénierie de Ripple, a confirmé le bug le jour même du signalement par Veria et, après avoir déterminé que le XRP créé par la faille pouvait réellement être dépensé, l'a classée critique. Un correctif a été fusionné le 23 septembre et publié dans xrpld 3.4.1 le 25 septembre.

En temps normal, un changement de ce type passerait par le processus d'amendment du XRP Ledger, qui exige le soutien de plus de 80 % des validateurs de confiance pendant deux semaines consécutives. Cette fois, however, le patch est entré en vigueur à mesure que chaque serveur se mettait à jour. Au jour de la publication, plus de 80 % des validateurs de la Unique Node List par défaut exécutaient déjà le code corrigé.

Le rapport de Ripple a indiqué qu'il s'agissait du premier changement de traitement des transactions en plus de dix ans à contourner le système d'amendment, une mesure prise car la vulnérabilité serait sinon restée exposée pendant des semaines avant la mise en ligne du correctif. La réponse a donc placé sous surveillance, outre la prime elle-même, tant l'adoption par les validateurs que le processus d'amendment.

La décision de retarder la publication publique du code source n'a néanmoins pas manqué de susciter des critiques. Justin Bons, fondateur de Cyber Capital, a déclaré que le XRP avait « tourné avec du code closed source » jusqu'à la publication complète du code 3.4.1. L'ingénieure de RippleX Mayukha Vadari a répondu que l'ancienne approche ne fonctionne plus, expliquant qu'un correctif critique ne peut pas être intégré à une publication publique de routine, car les attaquants le repéreraient et le feraient de l'ingénierie inverse immédiatement.