Le pont crypto TX perd 200 000 dollars en XRP après l'exploitation d'un bug logiciel

Le pont crypto TX, anciennement connu sous le nom de Coreum, a perdu la quasi-totalité de ses réserves de XRP le 9 août en raison d'un bug logiciel. En l'espace d'environ 97 minutes, 199 916,3 pièces XRP, d'une valeur d'environ 200 000 dollars, ont été retirées du pont. Après l'attaque, seuls 493,5 XRP sont restés sur le compte du pont, représentant environ 0,3 % de la réserve initiale. Selon CoinDesk, le pont reste hors ligne et l'incident a été signalé aux autorités américaines.

L'anatomie de la faille

Le détail inhabituel est que la clé de signature du pont n'a pas été compromise. Chacun des 94 transferts approuvés était une transaction multisig valide, signée par 17 des 28 signataires requis. En d'autres termes, le mécanisme de sécurité lui-même a fonctionné comme prévu. Le problème résidait dans la phase précédant l'approbation : le logiciel du pont vérifiait l'historique des transactions à la recherche de transferts dotés d'un « MEMO » correspondant (un court message accompagnant un transfert utilisé pour l'identification ou la transmission de données), mais le logiciel n'a pas vérifié si les fonds avaient réellement été envoyés à l'adresse du pont.

La vulnérabilité a été rendue possible par le mode de fonctionnement du réseau XRP Ledger. Lorsque l'option par défaut est activée, les transactions de tiers peuvent apparaître dans l'historique du compte même si le compte lui-même ne les a pas initiées ou reçues directement. L'attaquant a exploité ce comportement : il s'a envoyé du XRP à lui-même, a ajouté à la transaction le MEMO que le pont recherchait, et le système a interprété l'action comme un véritable dépôt. Il a ensuite exécuté le paiement correspondant de l'autre côté du pont.

Impact plus large et blanchiment

Le problème ne s'est pas limité au XRP. Selon les rapports, la même vulnérabilité a également permis la création d'environ 4,36 millions d'unités de jetons TX, dont la valeur théorique était bien supérieure à la liquidité réellement disponible. La plupart n'ont pas été vendues. Une partie des fonds que l'attaquant a réussi à extraire a été convertie de XRP en Ethereum, acheminée via THORChain, puis acheminée vers Tornado Cash, un service qui masque le lien entre les adresses de blockchain.

L'incident illustre une vulnérabilité critique dans les ponts inter-réseaux : les signatures multiples ne protègent pas un système si les informations sur lesquelles se fonde une décision sont erronées. Dans ce cas, personne n'avait besoin de voler de clé privée. Il suffisait d'envoyer une transaction contenant les détails que le logiciel s'attendait à voir.

À la suite de l'attaque, une plainte a été déposée auprès du FBI, le pont reste suspendu et aucun plan d'indemnisation des utilisateurs n'a été annoncé à ce jour.