Une vulnérabilité présente dans le XRP Ledger depuis une dizaine d'années aurait permis à des attaquants de créer du XRP dépensable sans le payer, mettant en péril l'offre fixe de 100 milliards de tokens de la cryptomonnaie. Ce plafond est fondamental pour l'actif : les 100 milliards de XRP existaient dès le lancement du ledger, et les règles du protocole sont conçues pour déplacer des tokens entre détenteurs plutôt que pour en créer de nouveaux. L'équipe de développement de Ripple a publié une mise à jour logicielle d'urgence pour éliminer la faille, et les chercheurs n'ont trouvé aucune preuve qu'elle ait jamais été exploitée sur les réseaux publics.

Le bug a été divulgué le 9 octobre 2026 et remonterait, selon les informations disponibles, à 2015. Les chercheurs Cayden Liao et Veria AI ont découvert le problème via le programme de bug bounty du XRP Ledger et l'ont signalé le 22 septembre. De tels programmes sont un pilier de la sécurité des cryptomonnaies, offrant aux chercheurs externes un canal privé pour transmettre les failles aux développeurs avant que les détails ne deviennent publics. RippleX, la division développement de Ripple, a reproduit l'attaque et confirmé que le XRP nouvellement créé aurait pu être dépensé dans des transactions ultérieures.

Comment fonctionnait le bug lié à l'offre de XRP

Au cœur du problème se trouvait un dépassement d'entier dans le moteur de paiement du XRP Ledger — un défaut logiciel classique où un calcul dépasse la taille fixe du nombre censé le stocker. Le ledger traite les transactions via sa plateforme d'échange intégrée, où les utilisateurs placent des offres pour échanger un actif contre un autre.

Un attaquant aurait pu exploiter ce mécanisme en créant des centaines de comptes et en plaçant des offres portant sur des montants inhabituellement élevés de XRP. Un paiement unique, soigneusement conçu, pouvait alors consommer toutes ces offres d'un coup.

Lors du calcul du total de XRP dû sur l'ensemble des offres consommées, le compteur numérique du moteur de paiement pouvait être poussé au-delà de la valeur maximale qu'il pouvait représenter, entraînant un bouclage du total vers un nombre bien plus petit. Par conséquent, les comptes vendeurs auraient reçu l'intégralité de leurs paiements tandis que l'acheteur n'aurait payé que le montant erronément calculé — un écart qui aurait effectivement créé du nouveau XRP.

Le garde-fou existant du ledger, destiné à détecter la création non autorisée de XRP, s'appuyait lui aussi sur des calculs vulnérables au même dépassement et pouvait donc ne pas détecter les tokens nouvellement créés. RippleX a confirmé que monter l'attaque n'aurait nécessité que quelquesaines de XRP pour établir les comptes nécessaires, en plus des frais de transaction.

Le correctif d'urgence a contourné le processus de vote habituel

Ripple a publié la version 3.4.1 du logiciel serveur du XRP Ledger le 25 septembre pour corriger la vulnérabilité. Contrairement aux modifications de protocole conventionnelles, le correctif du moteur de paiement est entré en vigueur à mesure que les opérateurs individuels mettaient leurs serveurs à niveau. La divulgation officielle a été publiée sur le blog du XRP Ledger à l'adresse environ deux semaines après la sortie — un délai conforme aux normes de divulgation coordonnée, selon lesquelles les correctifs sont d'abord déployés afin que les opérateurs puissent protéger leurs systèmes avant que les détails de l'attaque ne soient rendus publics.

Cette décision a marqué un écart exceptionnel par rapport au processus d'amendement standard du ledger, qui exige généralement plus de 80 % de soutien des validateurs de confiance pendant deux semaines — un mécanisme conçu pour qu'aucune partie ne puisse réécrire unilatéralement les règles du ledger. RippleX a expliqué que suivre le processus normal aurait pu exposer publiquement la vulnérabilité alors que le réseau restait à risque pendant la période de vote et d'activation. Selon la divulgation officielle, plus de 80 % des validateurs de confiance par défaut avaient effectué la mise à niveau dès le jour même de la sortie.

Le rapport sur la vulnérabilité, publié le 9 octobre, a confirmé que les enquêteurs n'avaient trouvé aucune preuve d'exploitation sur les réseaux publics. L'incident souligne la valeur de la recherche indépendante en sécurité et de la coordination rapide au sein de l'infrastructure des cryptomonnaies. Il s'inscrit également dans un schéma familier du secteur : en 2018, les développeurs de Bitcoin Core ont discrètement corrigé un bug de consensus qui aurait pu permettre à un mineur de gonfler l'offre de Bitcoin.

Alors que Ripple a contenu la menace immédiate, l'épisode soulève des questions plus larges sur la manière dont les réseaux décentralisés devraient concilier les mesures de sécurité d'urgence avec une gouvernance transparente. RippleX a souligné que cette réponse exceptionnelle ne change pas l'approche établie du ledger pour les futurs amendements du protocole.