XRP Ledger : une faille vieille de dix ans permettait de créer 18 000 milliards de XRP en une transaction

Une seule transaction aurait pu créer environ 18 000 milliards de XRP, soit près de 180 fois l’offre totale prévue par le protocole. Le 9 octobre 2026, la XRPL Foundation et RippleX ont rendu publique une faille critique du moteur de paiement du XRP Ledger, corrigée en urgence fin septembre. Aucune exploitation n’a été constatée. Mais la manière dont le correctif a été déployé relance un débat de fond sur la gouvernance des blockchains.

Un dépassement d’entier présent depuis 2015

La faille se trouvait dans du code écrit en 2015. Lorsqu’un paiement traversait plusieurs offres du carnet d’ordres, le logiciel additionnait le coût total pour l’acheteur dans un entier de 64 bits. Si ce total dépassait la valeur maximale du format, il « rebouclait » vers un nombre beaucoup plus petit. Les vendeurs étaient pourtant crédités de l’intégralité de leurs offres : la différence se transformait en XRP qui n’existaient pas auparavant.

Le contrôle de l’offre, ajouté en 2017, utilisait la même arithmétique et ne détectait donc pas l’anomalie. L’exploitation n’était toutefois pas à la portée d’un utilisateur ordinaire : elle exigeait de créer plusieurs centaines de comptes et de placer des offres à des prix inhabituels.

Découverte par un agent d’IA

La société de sécurité Veria Labs a repéré le problème le 21 septembre grâce à des tests automatisés menés par un agent d’intelligence artificielle, qui a aussi produit une preuve de concept fonctionnelle sur un réseau de test local. Le signalement a été transmis le 22 septembre via le programme de primes aux bogues du XRP Ledger. RippleX a reproduit le problème, confirmé que les XRP créés étaient dépensables, et relevé la gravité au niveau « critique ». Veria a reçu la prime maximale de 250 000 dollars.

Un correctif qui a contourné le vote des validateurs

Le correctif a été développé les 22 et 23 septembre, puis publié dans la version 3.4.1 du logiciel xrpld le 25 septembre. Il rejette désormais les calculs qui débordent, comme un simple paiement échoué.

Sur le XRP Ledger, une modification des règles passe normalement par un « amendement » qui doit recueillir plus de 80 % de soutien des validateurs pendant deux semaines consécutives. Cette fois, le correctif principal a contourné ce processus : il prenait effet sur chaque serveur dès que son opérateur installait la mise à jour. Les développeurs ont justifié ce choix par le risque de laisser la faille exploitable pendant la période de vote. Plus de 80 % des validateurs de la liste par défaut avaient installé la version 3.4.1 dès le jour de sa sortie.

Une seconde faille corrigée par la voie normale

Une autre vulnérabilité, liée à la fonction Batch qui regroupe jusqu’à huit transactions, a suivi le circuit habituel. L’amendement correctif fixBatchV1_2 a été activé le 9 octobre, avec 30 validateurs pour et 5 contre selon XRPScan. Les serveurs restés sur une version antérieure sont désormais bloqués et doivent passer en 3.4.1.

La vraie question : qui peut patcher en urgence ?

Le bogue lui-même n’est pas le sujet le plus sensible : il est resté plus de dix ans sans incident connu. C’est la gouvernance de l’urgence qui fait débat.

Justin Bons, fondateur de Cyber Capital, a critiqué l’exécution d’un logiciel au code source non publié sur un registre public. La XRPL Foundation conteste toute idée de correctif imposé : selon elle, « aucune partie ne pouvait imposer le changement », chaque opérateur ayant choisi d’installer ou non la mise à jour, et le code source a été publié depuis. L’ingénieure de RippleX Mayukha Vadari a défendu l’approche, en rappelant le danger de révéler une faille critique avant que le réseau ne soit protégé.

Le dilemme dépasse le XRP Ledger. Toute blockchain décentralisée doit pouvoir réagir en quelques heures à une faille critique, sans pour autant dépendre d’un centre de décision unique. La XRPL Foundation affirme qu’aucun XRP n’a été créé, que l’offre reste plafonnée à 100 milliards et qu’environ 99,986 milliards existent aujourd’hui.

Sources : XRPL Foundation et RippleX (rapport du 9 octobre 2026, via crypto.news et ETHNews), XRPScan.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.