Le XRP Ledger a résolu une faille de sécurité critique qui aurait permis à un attaquant de créer jusqu'à 18 000 milliards de XRP — une somme bien au-delà de l'offre fixe du réseau. Le chercheur en sécurité Cayden Liao, qui a découvert ce bug vieux de dix ans, a reçu une prime de 250 000 $, et les développeurs de RippleX et de la XRP Ledger Foundation ont sécurisé le réseau avant de divulguer publiquement la vulnérabilité dans un rapport de divulgation officiel.

Un bug de dépassement menaçait l'offre fixe du XRP

La vulnérabilité se trouvait dans le moteur de paiement du registre et s'agissait d'un bug de dépassement de capacité — une classe courante de défaut logiciel dans laquelle un calcul dépasse la valeur maximale que son champ de données peut contenir, produisant des résultats involontaires. Selon Liao, une transaction spécialement conçue aurait pu générer du XRP dépensable au-delà de l'offre fixe, mettant en péril l'intégrité financière du réseau.

Le XRP Ledger a été lancé en 2012 avec un plafond de 100 milliards de XRP. Contrairement à de nombreuses autres cryptomonnaies, le XRP ne peut être ni miné ni mis en stake sur le réseau, et de petites quantités sont définitivement détruites à chaque transaction sous forme de frais — une dynamique qui réduit lentement le nombre de XRP en circulation. La faille récemment révélée aurait pu outrepasser cette restriction d'offre.

Liao a déclaré que son équipe avait développé une preuve de concept capable de générer environ 18 000 milliards de XRP en une seule transaction, soit environ 184 fois l'offre initiale du réseau. Avec une capitalisation boursière d'environ 94 milliards de dollars pour le XRP, une exploitation réussie aurait pu nuire à la confiance dans l'actif et sur l'ensemble du marché. Les développeurs ont toutefois indiqué qu'aucun attaquant n'avait été trouvé ayant exploité la faille sur les réseaux publics.

Correctif d'urgence et divulgation coordonnée

La vulnérabilité a été signalée via le programme de bug bounty du XRPL le 22 septembre 2026. Les développeurs ont publié un correctif le 25 septembre dans la version 3.4.1 de xrpld, et la divulgation indique que plus de 80 % des validateurs par défaut ont mis à jour leur logiciel le jour même.

Fait notable, les développeurs ont passé outre le vote d'amendement standard de deux semaines des validateurs et ont suivi un processus d'urgence, ce qui leur a permis de traiter la menace sans révéler de détails techniques au public. Cette approche reflète la pratique de divulgation coordonnée courante dans l'industrie du logiciel, selon laquelle les correctifs sont expédiés et déployés avant que les détails ne soient rendus publics, réduisant ainsi la fenêtre pendant laquelle des attaquants potentiels pourraient agir sur ces informations. La divulgation coordonnée a suivi le 9 octobre, après sécurisation du réseau. Liao a rendu publique la découverte et la récompense dans une publication sur X.

L'épisode a également démontré que même des logiciels largement examinés peuvent encore contenir des faiblesses sérieuses. Le code défectueux datait de 2015, et l'exploit reposait sur la combinaison deux bugs qui, pris isolément, pouvaient sembler moins menaçants lors des révisions antérieures — un schéma familier en recherche en sécurité, où des failles qui paraissent mineures individuellement peuvent s'avérer graves lorsqu'elles sont combinées. L'équipe de Liao a remporté la récompense maximale de 250 000 $ du programme, le chercheur qualifiant la découverte de « résultat de sécurité exceptionnellement important ». La preuve de concept revendiquée était toutefois une démonstration d'attaque et non un exploit ayant causé des dommages réels.

Aucune preuve d'exploitation

Au cours des dernières années, le XRP Ledger a fait l'objet de nombreux audits et défis de sécurité, et la divulgation note que le réseau a attribué plus d'un million de dollars en primes de bugs. De tels programmes encouragent les chercheurs à signaler les vulnérabilités de manière responsable plutôt que de les laisser ouvertes à l'exploitation par des attaquants — un modèle d'incitation désormais courant dans l'industrie de la blockchain.

L'incident rappelle l'importance des mises à jour logicielles rapides sur les réseaux blockchain. Les validateurs sont essentiels car leur logiciel assure le bon fonctionnement et la sécurité du registre, et des mises à jour promptes lorsque des vulnérabilités critiques apparaissent peuvent minimiser l'exposition. L'adoption dès le premier jour du correctif du 25 septembre par plus de 80 % des validateurs par défaut a illustré cette dynamique.

Malgré la gravité de l'exploit potentiel, aucun cas de création non autorisée de XRP n'a été signalé, et les développeurs n'ont trouvé aucune preuve qu'un utilisateur des réseaux publics ait perdu des fonds à cause de cette faille. Une menace théorique majeure a donc été éliminée sans aucun incident sur le réseau public.