   
La XRP Ledger Foundation a annoncé avoir corrigé une vulnérabilité critique dans un amendement en attente du XRP Ledger de Ripple, empêchant ce qui aurait pu être un exploit de sécurité important.
Le 19 février, un ingénieur en sécurité de la société de cybersécurité Cantina, Pranamya Keshkamat, ainsi que le robot de sécurité Cantina AI, ont découvert une « faille logique critique » dans le processus de validation de signature du XRP Ledger de Ripple, a rapporté jeudi la XRP Ledger Foundation.
La faille aurait pu permettre à des acteurs malveillants d'initier des transactions à partir de comptes d'utilisateurs – y compris en siphonnant des fonds – sans avoir besoin d'accéder aux clés privées des victimes.
L'amendement « Batch » proposé (XLS-56) était toujours en cours de vote et n'était pas encore mis en ligne sur le réseau principal XRP Ledger, ce qui signifie qu'aucun fonds d'utilisateur n'a jamais été menacé ou affecté.
Le « plus grand piratage de sécurité au monde en termes de valeur monétaire »
Selon la XRP Ledger Foundation, la vulnérabilité présentait non seulement un risque de vol de fonds et de falsification du registre, mais pouvait également perturber la stabilité de l'ensemble de l'écosystème.
& nbsp« Un exploit réussi à grande échelle aurait pu entraîner une perte de confiance substantielle dans XRPL, avec une perturbation potentiellement importante pour l'écosystème dans son ensemble. »
L’amendement Batch est conçu pour permettre de regrouper plusieurs transactions « internes ». Ces transactions internes restent non signées afin de réduire la puissance de traitement, l'autorisation étant gérée par les signataires désignés du lot externe. Mais une erreur de boucle critique dans le mécanisme d’appel du signataire a créé une vulnérabilité de sécurité importante.
Si le système rencontrait un signataire lié à un compte qui n'est pas encore présent dans le grand livre et que la clé de signature correspondait à ce nouveau compte, il marquerait instantanément la validation comme réussie. La boucle se terminerait alors prématurément, contournant les contrôles critiques du validateur. Un attaquant aurait pu exploiter une séquence particulière de transactions par lots pour exploiter cette faille.
Hari Mulackal, PDG de Cantina et Spearbit, a noté dans un article sur X : « Excellent travail de la part de l'équipe @Ripple pour répondre rapidement à notre divulgation, alertant les validateurs qui ont rapidement voté contre la mise à niveau qui devait être mise en ligne en mars. »
« Si cela avait été exploité, il s'agirait du plus grand piratage de sécurité en termes de valeur monétaire au monde, avec près de 80 milliards de dollars en danger direct », a-t-il ajouté, faisant peut-être référence à la capitalisation boursière actuelle de XRP.
La XRP Ledger Foundation a signalé que les validateurs avaient été invités à voter contre l'amendement, et une mise à jour d'urgence (Rippled 3.1.1) a été publiée plus tôt cette semaine pour empêcher l'activation de l'amendement.