Les développeurs du XRP Ledger ont divulgué un bug critique de dépassement qui aurait permis à un attaquant de créer des XRP à partir de rien, en dépassant le plafond strict de 100 milliards de tokens du réseau. La faille affectait xrpld, le logiciel serveur central du ledger, dans les versions 3.4.0 et antérieures. Elle a été discrètement corrigée en septembre et rendue publique le 9 octobre 2026. Les enquêteurs n'ont trouvé aucune preuve qu'elle ait été exploitée sur un réseau public.

Comment le bug fonctionnait

La vulnérabilité résidait dans la manière dont xrpld totalisait les montants des paiements. Lorsqu'un paiement unique tirait des liquidités de plusieurs offres du carnet d'ordres décentralisé, le logiciel utilisait un entier 64 bits pour cumuler le total des XRP impliqués. Si ce total dépassait la valeur maximale que l'entier pouvait contenir, il revenait à une valeur bien inférieure à la réalité. Ce type d'erreur de dépassement est une catégorie classique de faille logicielle — un calcul qui dépasse la taille fixe de la variable stockant le résultat — et fait partie des premiers risques que les réviseurs recherchent dans un code qui déplace des fonds.

Un attaquant pouvait exploiter cet écart pour dépenser des XRP qui n'existaient pas. Comme les soldes gonflés étaient dispersés sur de nombreux comptes, les contrôles de sécurité existants du ledger n'ont pas signalé la divergence — permettant aux livres d'apparaître équilibrés pendant que l'offre réelle gonflait discrètement.

Le coût d'une telle attaque était étonnamment bas. Selon la divulgation, l'exploit nécessitait des offres spécialement conçues provenant de centaines de comptes, pour un coût de quelques centaines de XRP seulement en réserves et frais, dont la majorité aurait été récupérable. Le montant de XRP qui aurait pu être créé en une seule transaction aurait pu dépasser l'offre totale du token.

Un correctif discret, puis une divulgation publique

La vulnérabilité a été signalée le 22 septembre 2026 par le chercheur Cayden Liao via le programme de bug bounty XRPL. RippleX, la branche développement de Ripple, a confirmé le problème et reproduit l'attaque sur un serveur isolé, vérifiant que les XRP excédentaires pouvaient être dépensés dans des transactions ultérieures.

Trois jours après le signalement, le 25 septembre 2026, une version d'urgence est sortie : xrpld 3.4.1. Le correctif a également contourné le processus d'amendement habituel du ledger, selon lequel les modifications des règles du réseau ne prennent normement effet qu'après une procédure de vote des validateurs. Ce correctif a été déployé immédiatement à la place.

La divulgation publique a suivi le 9 octobre, soit environ deux semaines après la publication du logiciel corrigé. L'équipe a signalé aucune perte de fonds, aucune clé compromise et aucun problème de consensus lié au bug. Cette séquence suit le principe de divulgation coordonnée des vulnérabilités, la pratique standard en sécurité logicielle consistant publier les correctifs avant de rendre publics les détails, offrant aux opérateurs une fenêtre pour se mettre à niveau avant que des informations pouvant guider une attaque ne deviennent publiques. Le programme de bug bounty XRPL qui a permis ce signalement fait partie du même dispositif — un mécanisme qui rémunère les chercheurs indépendants pour qu'ils révèlent les failles en privé plutôt que de les exploiter ou de les divulguer de leur propre chef.

Une décennie de dissimulation

La faille aurait existé depuis la construction initiale du moteur de paiement, vers 2015 — ce qui signifie que le code a traité des paiements pendant des années avec un dépassement latent en son sein. Les bugs capables de gonfler l'actif natif d'une chaîne sont rares, mais pas inédits : en 2018, les développeurs de Bitcoin Core ont publié un correctif d'urgence pour une faille qui aurait également pu permettre à un attaquant de créer des bitcoin en dehors des règles d'émission du réseau.

Ce que cela signifie pour les détenteurs de XRP et le ledger

Pour les détenteurs de XRP, la conclusion immédiate est rassurante : rien n'indique que le bug ait jamais été exploité, et l'intégrité de l'offre du token semble intacte. Cet épisode rappelle également qu'un plafond d'offre strict est en fin de compte appliqué par le code — et qu'il n'est fiable qu'à la hauteur de ce code.

La décision de contourner le processus d'amendement mérite toutefois attention. Une voie connue de création illimitée de XRP n'est pas quelque chose qui peut attendre un vote de gouvernance, mais les correctifs d'urgence qui contournent les procédures normales placent une confiance considérable dans l'équipe de développement centrale. En l'occurrence, la sécurité du réseau dépendait de la rapidité de mise à niveau des validateurs et des opérateurs de nœuds.

Les opérateurs de nœuds utilisant encore xrpld 3.4.0 ou une version antérieure sont le public le plus directement concerné par cette actualité. La version corrigée, 3.4.1, est disponible depuis le 25 septembre, et quiconque n'a pas effectué la mise à niveau exécute un logiciel présentant une faille désormais documentée publiquement, capable de briser le plafond d'offre.

Source : CryptoBriefing