ZachXBT relance sa critique sur le « Ripple bon marché » à propos d'une prime de 250 000 dollars pour un bug lié à 18 billions de XRP

L'enquêteur blockchain ZachXBT a déclaré lundi que les 250 000 $ versés par Ripple à la société de sécurité Veria Labs pour avoir découvert un bug susceptible de générer des billions de XRP étaient nettement insuffisants.

Cette situation a ravivé les critiques récurrentes de ZachXBT concernant la manière dont Ripple traite les chercheurs.

Combien Ripple a-t-il versé à Veria Labs ?

ZachXBT a critiqué les 250,000 attribués à Veria Labs par Ripple dans un post sur X le 12 octobre. Il a écrit que cette découverte « devrait rapporter au minimum sept chiffres » à Veria Labs et à son cofondateur Cayden Liao.

ZachXBT a affirmé que ce paiement s'inscrit dans une tendance où des organisations « bien capitalisées » sous-rémunèrent les chercheurs en sécurité white-hat.

Il a soutenu que 250 000 $ est un montant trop faible lorsque l'organisation qui paie dispose d'un « trésor de plusieurs milliards », et a mis en garde contre le fait que des récompenses dérisoires pourraient inciter la prochaine personne découvrant une telle faille à l'exploiter plutôt qu'à la signaler.

Pour sa part, Liao a déclaré que Ripple Veria a perçu la prime maximale du programme de 250 000 $ et l'a qualifiée de plus importante jamais versée pour une vulnérabilité découverte entièrement par un agent IA.

Veria Labs a trouvé un dépassement d'entier critique dans le moteur de paiement du XRP Ledger, le code qui règle les trades contre le carnet d'ordres intégré au réseau.

Lorsqu'un paiement remplissait plusieurs offres simultanément, le moteur additionnait les montants sans vérifier les risques de débordement. Un total suffisamment important bouclait sur un nombre infime. Les vendeurs étaient intégralement payés, mais l'acheteur n'était débité que de ce montant dérisoire.

Cette différence créait de nouveaux XRP, dépensables comme tout autre.

Le ledger dispose d'une vérification de sécurité, « XRPNotCreated », destinée à bloquer toute transaction créant de nouvelles pièces, mais elle présentait un bug similaire et n'a donc pas détecté le déséquilibre.

Veria a indiqué que son agent IA a enchaîné les deux bugs, codés en novembre 2015 et février 2017, pour créer une preuve de concept fonctionnelle. Il a crédité 18,45 billions de XRP répartis sur 256 comptes au sein d'une seule transaction. Cela représente environ 184 fois l'offre fixe de XRP, fixée à 100 milliards. Veria a estimé que le montant potentiellement menacé s'élevait à près de la totalité de la capitalisation boursière du token, soit 94 milliards de dollars, basée sur un prix de 1,59 dollar.

Notamment, les développeurs n'ont trouvé aucune trace indiquant que le bug ait jamais été utilisé. Le rapport de Ripple sur ce problème expliquait que pour que l'attaque se produise, des centaines d'offres devraient être tarifées de manière qu'aucun trader réel n'utiliserait.

Veria a signalé la faille le 22 septembre via le programme de prime pour bugs (bug bounty) de XRPL et a reçu une récompense de 250 000 $ pour ses efforts.

ZachXBT a fait référence aux 1,5 million de dollars accordés par Zcash au chercheur Taylor Hornby dans son argumentation contre le paiement de Ripple.

Hornby a divulgué un bug de contrefaçon en Le pool protégé Orchard de Zcash, une faille qui mettait environ 2,3 milliards de dollars de ZEC en risque, et a reçu la prime de 750 000 $ ainsi qu'une subvention bonus équivalente de 750 000 $, approuvée par les détenteurs de pièces lors d'un tour rétroactif du troisième trimestre ayant distribué environ 8,39 millions de dollars.

Jason McGee, directeur exécutif de Shielded Labs, qui a déposé la nomination pour le bonus, a soutenu que le montant initial ne représentait que 0,033 % des fonds en jeu, contre un précédent minimal de 0,24 %. Il a écrit qu'une récompense plus élevée constituait une « assurance bon marché » pour le protocole. Comme la découverte de Veria, celle de Hornby a été assistée par l'IA.

Le bug a-t-il été corrigé ?

RippleX, l'équipe d'ingénierie de Ripple, a confirmé le bug le même jour où Veria l'a signalé. Après avoir constaté que les XRP générés par ce bug pouvaient effectivement être dépensés, ils ont qualifié la vulnérabilité de critique. Une correction a été intégrée le 23 septembre et publiée dans xrpld 3.4.1 le 25 septembre.

Habituellement, une telle correction suit le processus d'amendement, qui nécessite le soutien pendant deux semaines consécutives d'au moins 80 % des validateurs de confiance, mais cette fois, le correctif est entré en vigueur à mesure que chaque serveur effectuait sa mise à niveau.

À la date de publication, plus de 80 % des validateurs figurant sur la liste Unique Node List par défaut l'exécutaient déjà.

Le rapport de l'entreprise indiquait qu'il s'agissait du premier changement de traitement des transactions depuis plus de dix ans à ne pas passer par le système d'amendement, car le bug aurait pu rester exposé pendant plusieurs semaines avant la publication de la correction.

Néanmoins, le report de la publication publique du code source a suscité des critiques. Justin Bons, fondateur de Cyber Capital, a déclaré que XRP avait « fonctionné avec un code propriétaire » jusqu'à la publication complète du code 3.4.1.

L'ingénieur de RippleX Mayukha Vadari a répondu aux critiques, affirmant que l'ancienne approche ne fonctionne plus. Elle a expliqué qu'un correctif critique ne peut pas être inclus dans une version publique de routine, car les attaquants le repéreraient et le rétroconstruiraient immédiatement.