250 000 dollars pour une faille à 18 000 milliards de XRP : la sécurité crypto a-t-elle un prix trop bas ?

Combien vaut une faille capable de créer 18 000 milliards de XRP ? Pour le programme de primes du XRP Ledger, 250 000 dollars, le maximum prévu. Pour l’enquêteur ZachXBT, c’est beaucoup trop peu. Le débat dépasse le cas XRP : une prime de sécurité n’est pas un geste de remerciement, c’est un prix de marché, en concurrence avec ce que rapporterait l’exploitation de la faille.

La prime XRPL jugée « bon marché »

La prime de 250 000 dollars a été attribuée le 8 octobre à Veria Labs, représenté par Cayden Liao, pour avoir signalé deux dépassements d’entier dans le moteur de paiement du XRP Ledger, écrits en novembre 2015 et en février 2017. Leur preuve de concept permettait de créer environ 18 450 milliards de XRP, soit environ 184 fois l’offre totale. Le correctif a été publié le 25 septembre dans la version 3.4.1 du logiciel xrpld, et aucun XRP n’a été créé.

ZachXBT a critiqué un paiement jugé « bon marché » pour un bogue critique d’offre infinie, alors que la trésorerie de l’écosystème se compte en milliards. Selon lui, la prime aurait dû atteindre « au minimum sept chiffres », soit plus d’un million de dollars. Il estime qu’une récompense sous-évaluée incite les prochains découvreurs à se tourner vers d’autres débouchés, et que le registre s’expose à une perte de l’ordre de la centaine de millions de dollars lors d’un futur exploit.

Une question d’économie, pas de morale

L’argument est économique. Un chercheur qui découvre une faille majeure arbitre entre la divulgation responsable, rémunérée par la prime, et d’autres usages bien plus lucratifs, mais illégaux. Plus l’écart est grand, plus le système repose sur la seule éthique du découvreur. La sécurité d’un réseau se mesure aussi à son maillon économique le plus faible.

Lightning : Eclair corrige des fuites de frais

Deuxième alerte Lightning en quelques jours après la faille de la bibliothèque LDK. Selon CryptoSlate, l’implémentation Eclair, développée par ACINQ, a fusionné les 2 et 5 octobre deux correctifs. Le premier plafonne les frais qu’un pair peut imposer lors de l’ouverture d’un canal ou d’une opération de « splicing ». Le second vérifie les transactions construites par le nœud bitcoin sous-jacent.

Ces failles ne permettaient pas de voler des clés, mais de faire brûler des bitcoins en frais. Point important : les correctifs sont fusionnés dans le code, mais la dernière version publiée reste la v0.14.3 de septembre. Il n’y a donc encore rien à installer pour les opérateurs, qui devront surveiller la prochaine version.

Ontology redémarre après environ 41 heures d’arrêt

Le réseau principal d’Ontology a été arrêté vers 16 h 43 UTC le 10 octobre pour raisons de sécurité, avant de redémarrer vers 9 h 57 UTC le 12 octobre, soit environ 41 heures d’interruption. L’équipe affirme qu’aucun fonds n’a été perdu « sur le réseau Ontology lui-même ». Un projet de l’écosystème, non nommé, a en revanche été touché, sans que ses pertes soient précisées.

NEAR Intents : des fonds rendus en partie en Monero

Après l’exploit du 1er octobre, qui avait vidé environ 3,8 millions de dollars, les fonds ont été restitués selon l’équipe, environ 78 % en bitcoin et le reste en Monero, une cryptomonnaie axée sur la confidentialité. Le directeur général Alex Shevchenko indique que les contrats avaient déjà été renfloués sur les fonds propres de l’équipe, et que la conversion des Monero est en cours.

Le risque physique ne disparaît pas

Enfin, le trader connu sous le nom de « Realist » affirme avoir été ligoté et braqué au couteau à son domicile au Royaume-Uni, pour environ 800 000 dollars. Une adresse Solana qu’il a désignée a reçu près de 719 000 USDC. Ces éléments reposent sur sa seule déclaration. Ils rappellent néanmoins que la discrétion sur ses avoirs fait partie de la sécurité.

Sources : TheStreet, Cryptopolitan, The Crypto Times, CryptoSlate, The Defiant, Unchained.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.