Une faille vieille de dix ans dans le moteur de paiement du XRP Ledger aurait pu, en théorie, permettre à des attaquants de créer des XRP utilisables au-delà du plafond d'offre fixé à 100 milliards de tokens, selon Ripple. L'entreprise indique que le correctif a été publié dans xrpld 3.4.1 le 25 septembre — avant la divulgation publique — et les enquêteurs n'ont trouvé aucune preuve que la vulnérabilité ait été exploitée sur un réseau public ni que des XRP non autorisés aient été émis.

Le XRP Ledger est une blockchain décentralisée dont l'actif natif, le XRP, dispose d'une offre fixe depuis son lancement, ce qui signifie qu'aucune transaction n'est autorisée à créer des tokens supplémentaires. C'est précisément ce qui rendait cette faille remarquable : elle représentait un moyen potentiel de contourner la règle monétaire la plus fondamentale du registre.

La divulgation a soulevé des questions et quelques idées reçues, que la XRP Ledger Foundation a directement abordées dans une publication sur X :

The recent XRP Ledger security fix raised a lot of questions and some misconceptions. Let's clear them up.

1. Was any XRP created?

No. XRP's supply was fixed at 100 billion when the XRP Ledger launched, and no transaction is allowed to create more. This bug was a way around…

— XRP Ledger Foundation (@XRPLF) October 11, 2026

Cette distinction compte : le bug menaçait les règles d'offre du registre, mais les éléments disponibles ne montrent pas que le plafond du XRP ait réellement été franchi.

J. Ayo Akinyele, directeur senior de l'ingénierie chez RippleX, a déclaré : « The bug had existed in the codebase for over a decade and could have allowed XRP to be created beyond its fixed supply. »

Comment un bug de paiement pouvait-il menacer l'offre de XRP ?

La faille se trouvait dans le moteur de paiement, le composant qui calcule les montants lorsqu'une transaction s'exécute via des offres sur la bourse intégrée du XRP Ledger. Dans des conditions spécialement construites, un dépassement arithmétique pouvait se produire : au lieu de renvoyer le total réel dû sur l'ensemble des offres, le calcul pouvait boucler et produire un nombre bien plus petit. Les bugs de dépassement constituent une catégorie de défauts logiciels depuis longtemps documentée, survenant lorsqu'un calcul dépasse la valeur maximale que son type numérique peut stocker.

Ce décalage créait la possibilité pour les vendeurs de recevoir plus de XRP que ce que l'acheteur avait payé. La limite d'offre du registre a été fixée lorsque les 100 milliards de XRP ont été créés à l'origine ; contrairement aux réseaux à preuve de travail, les validateurs ne minent pas de nouveaux XRP en traitant les transactions. Une faille pouvant rendre des XRP supplémentaires utilisables touchait donc à une règle monétaire fondamentale plutôt qu'à un simple compte.

RippleX a indiqué que les développeurs avaient testé le correctif et coordonné les mises à niveau avec les opérateurs avant que le problème ne soit publiquement divulgué. La publication correctif avant l'annonce suit la pratique standard de divulgation coordonnée, qui donne aux opérateurs le temps de mettre à niveau leurs systèmes avant que les détails de la vulnérabilité ne soient largement connus. Le correctif a été inclus dans xrpld 3.4.1, le logiciel serveur qui traite les transactions et maintient les registres. Le rapport de divulgation de vulnérabilité de la XRP Ledger Foundation détaille le dépassement du moteur de paiement et sa remédiation.

Ce déploiement logiciel rapide se distingue du processus d'amendement du registre, que les validateurs utilisent pour activer les modifications des règles du protocole. Les activations d'amendements précédentes du XRPL ont montré comment le soutien des validateurs peut déterminer le moment où un changement de protocole prend effet ; le correctif de la faille d'offre a quant à lui pris effet simplement lorsque les serveurs ont été mis à niveau vers la version corrigée.

Que signifie cet incident pour les détenteurs de XRP ?

Akinyele a décrit la réponse de RippleX dans une publication sur X le 10 octobre :

Security remains our top priority for preserving trust in the XRP Ledger (XRPL). Sharing a few thoughts following yesterday's disclosure of the critical payments engine vulnerability reported by Veria AI.

First, this was a serious vulnerability, and we don't take that lightly.…

— J. Ayo Akinyele (@ja_akinyele) October 10, 2026

Le risque documenté était la création possible de XRP non autorisés et utilisables — et non une perte confirmée de fonds utilisateurs. Les enquêteurs n'ont trouvé aucune preuve d'exploitation sur un réseau public, et la divulgation principale n'établit la perte d'aucun fonds. La bonne lecture est celle d'une vulnérabilité sérieuse qui a été corrigée, et non d'une rupture confirmée du plafond d'offre.

L'âge du bug reste significatif. Un défaut dans un chemin de paiement central est resté dans la base de code pendant plus de dix ans, tandis qu'un contrôle de sécurité destiné à empêcher la création de XRP n'a pas détecté le même problème arithmétique. En termes de trading, la vulnérabilité a exposé un angle mort dans une règle qui aurait dû fonctionner comme un coupe-circuit.

Les incidents de sécurité liés au XRP peuvent également impliquer des systèmes très différents. Une compromission d'un portefeuille ou d'un service, par exemple, n'est pas la même chose qu'une faille dans les règles de transaction du registre, comme l'illustre le cas distinct d'un piratage dans le secteur de la santé lié au XRP.

La vulnérabilité a été signalée par Veria AI, qui a contribué à découvrir le problème via le programme de bug bounty du XRPL, après la divulgation du vendredi 9 octobre. Les programmes de bug bounty sont un mécanisme courant dans l'industrie de la blockchain pour obtenir des revues de sécurité de chercheurs externes, qui signalent les failles en privé afin que les correctifs puissent être publiés en premier. Akinyele a ajouté : « AI is fundamentally changing how quickly vulnerabilities can be discovered. »

Le correctif ayant atteint le réseau via une version logicielle plutôt qu'un amendement du protocole, les indicateurs pratiques à partir de maintenant sont opérationnels : les opérateurs de serveurs adoptant la version corrigée xrpld 3.4.1, ainsi que tout détail technique supplémentaire dans le rapport de divulgation de la Foundation.

Source : 99Bitcoins — A Decade-Old Ripple XRP Ledger Flaw Was Patched Before Disclosure