Alerte de sécurité dans la communauté XRP
La communauté XRP a récemment reçu une alerte de sécurité critique, à la suite d’un tweet de la plateforme de sécurité Aikido Security. Dans ce tweet, Aikido Security a annoncé avoir découvert une porte dérobée dans le package officiel XRPL NPM, une bibliothèque populaire utilisée pour intégrer des applications JavaScript/TypeScript avec le XRP Ledger, en particulier pour des fonctionnalités avancées. Cette porte dérobée vole des clés privées et les transmet aux attaquants, ce qui a conduit à une alerte urgente à l’attention de tous les développeurs et projets associés à XRP.
Précautions à prendre
Il est impératif de faire preuve de prudence. Assurez-vous que votre projet n’utilise pas les dernières versions de npm, car cela compromet tous les comptes créés avec cette bibliothèque. Les versions compromises du package XRPL NPM sont les suivantes : 4.2.1 à 4.2.4, incluant spécifiquement les versions 4.2.1, 4.2.2, 4.2.3 et 4.2.4.
Faites attention. Assurez-vous que votre projet n’utilise pas la dernière version NPM, car cela compromettra tous les comptes créés avec la bibliothèque.
Développeurs et projets XRP Ledger – si vous utilisez la bibliothèque XRPL JS, ne mettez pas à jour et n’utilisez aucune version 4.2.1 ou supérieure. C’est compromis : tout projet utilisant cette nouvelle version de XRPL JS met en danger les utilisateurs et leurs fonds.
Le fournisseur d’infrastructure Alloy Network a également tweeté une alerte urgente tout en partageant l’avertissement d’Aikido Security : “C’est vérifié. La dernière version du package npm est compromise. Revenez à une version antérieure si vous êtes sur la dernière version. Immédiatement.”
Le package xrpl.js NPM compromis n’affecte pas Xaman Wallet. Xaman utilise des infrastructures internes et des bibliothèques développées par XRPL Labs.
Denis Angell, ingénieur logiciel chez XRPL Labs et Xahau, a confirmé que la version stable actuelle de xrpl.js est la 4.2.0. Nous ne comptons pas sur des bibliothèques tierces telles que xrpl.js pour gérer des clés privées ou des transactions. Les utilisateurs de Xaman ne sont donc pas affectés.
