Que s'est-il réellement passé ?
Selon CoinDesk [1], des chercheurs ont démontré une faille dans le XRP Ledger (blockchain publique associée au token XRP), qui existait depuis environ dix ans. La faille permettait à un paiement de créer des XRP dépensables sans que l'expéditeur ne couvre réellement ces fonds. Autrement dit : il était en principe possible de générer de la valeur « à partir de rien ».
La réponse a été une publication logicielle d'urgence qui a corrigé la vulnérabilité. C'est le cœur de la partie confirmée de cette histoire.
Quel était théoriquement l'ampleur du risque ?
Le titre parle de « milliards de dollars en XRP ». Ici, il faut séparer le potentiel de la réalité. CoinDesk [1] décrit un mécanisme par lequel il aurait été possible de créer des fonds sans couverture. C'est la description de la capacité théorique de la faille, et non la confirmation qu'un tel abus à grande échelle s'est réellement produit.
Savoir si la faille a un jour été réellement exploitée en production, et dans quelle mesure, ne ressort pas clairement de la source disponible. Tant que la source primaire ou l'équipe du XRP Ledger ne le confirme pas, nous le considérons comme inconnu.
Pourquoi il est important de ne pas le confondre avec l'affaire des portefeuilles matériels Ledger
Ces jours-ci circulent deux informations distinctes que ne relie que le mot « Ledger ». Il s'agit pourtant de deux choses totalement indépendantes :
| Affaire | De quoi il s'agit | Source |
|---|---|---|
| Bug du XRP Ledger | Faille du protocole XRP Ledger, correctif d'urgence | [1] |
| Ledger (portefeuilles matériels) | Pertes de fonds liées au revendeur CryptoBilis en Asie du Sud-Est | [3], [4] |
« XRP Ledger » est une blockchain. « Ledger » est un fabricant de portefeuilles matériels. Ce sont des entités différentes et des incidents différents. La confusion est facile ici, c'est pourquoi nous la mentionnons explicitement.
Que se passe-t-il dans cette autre affaire (Ledger matériel) ?
Pour être complet et éviter toute confusion : selon CryptoSlate [3], le volume de pertes suspectes liées à des achats d'appareils auprès du revendeur autorisé CryptoBilis approchait les 90 millions de dollars. Dans une déclaration du 9 octobre [3], Ledger a indiqué qu'il enquêtait sur l'incident et a demandé au revendeur de suspendre immédiatement la vente et l'expédition des appareils. L'entreprise a recommandé la prudence aux utilisateurs ayant effectué des achats au cours des 90 derniers jours environ [3].
Cointelegraph [4] indique que les chercheurs estiment les vols suspects dans une fourchette d'environ 72 à 86 millions de dollars. The Defiant [2] décrit le mouvement d'une partie des fonds volés : selon les enregistrements sur Tron, une conversion de 2 millions d'USDT a eu lieu via le module de stabilisation USDD, Bitquery estimant que Tether a gelé environ 10 millions de dollars à travers un ensemble plus large d'adresses liées au vol [2].
Ces estimations varient d'une source à l'autre (72 à 90 millions de dollars), ce qui est courant pour une enquête en cours. Il faut considérer ces chiffres comme provisoires, non définitifs.
À quoi faire attention dans ce type d'affaires
Ceci n'est pas un conseil sur ce qu'il faut faire avec son argent. C'est une liste de choses qu'il vaut la peine de surveiller pour ce type d'événements :
- Confirmation officielle de l'ampleur. Pour la faille du XRP Ledger, il manque encore une confirmation publiquement vérifiée indiquant si et dans quelle mesure elle a été réellement exploitée.
- Séparer le protocole de l'entreprise. Un même nom ne signifie pas un même incident.
- Évolution des estimations des dommages. Dans l'affaire des portefeuilles matériels, les chiffres changent tant que l'enquête est en cours.
- Gel et mouvement des fonds. Des mesures comme le gel d'USDT par Tether [2][3] montrent où se déplacent les fonds volés et où ils se heurtent aux mécanismes de contrôle.
Ce qui est confirmé et ce qui ne l'est pas
Confirmé : l'existence et la correction de la faille dans le XRP Ledger [1]. Incertain : si et dans quelle mesure la faille a été réellement exploitée. Affaire distincte : les pertes liées au revendeur de portefeuilles matériels Ledger [3][4], d'une origine totalement différente.