Ce bug dormant depuis une décennie
Le 22 septembre dernier, une faille majeure a été découverte dans le moteur de paiement du XRP Ledger, la blockchain qui sous-tend l'un des plus anciens tokens du marché crypto. Cette vulnérabilité, identifiée par Cayden Liao et Veria AI, était présente depuis 2015 sans jamais avoir été détectée durant plus de dix ans. La faille reposait sur un déassement d'entier (“integer overflow”), un type d’erreur qui survient lorsque des calculs numériques dépassent la capacité maximale prévue par le système.
Selon les informations publiées, ce bug aurait permis à un attaquant de générer en une seule transaction plus de 18 000 milliards de XRP, soit bien au-delà du plafond fixé à 100 milliards de tokens. Pourtant, malgré sa gravité potentielle, aucun cas d'exploitation n’a été constaté et l’offre totale reste stable à environ 99,986 milliards de XRP actuellement en circulation.
Le correctif d'urgence a été publié le 25 septembre, soit trois jours seulement après le signalement initial du bug par Veria AI et Cayden Liao.
La faille qui aurait pu tout changer
Le danger résidait dans la possibilité de créer virtuellement des quantités illimitées de XRP grâce à cette erreur mathématique enfouie dans le code depuis près d’une décennie. Un rapport publié ce lundi indique que la faille aurait permis à un acteur malveillant de contourner la limite d’émission fixée dès l’origine du réseau. Pour autant, déclencher ce bug nécessitait des opérations complexes et massives, ce qui explique pourquoi il est resté invisible lors des usages normaux.
L’impact potentiel sur le marché aurait été colossal si la faille avait été exploitée : avec une émission massive non autorisée, la valeur du XRP aurait pu s’effondrer instantanément.
RippleX face à l'urgence inédite
Dès le signalement du bug le 22 septembre, RippleX et la XRP Ledger Foundation ont coordonné une réponse rapide. Un correctif a été publié seulement trois jours plus tard, le 25 septembre, marquant une rupture avec la procédure habituelle : c’est la première fois en plus de dix ans que le processus d’amendement normal a été volontairement contourné pour accélérer la sécurisation du réseau. Cette décision exceptionnelle a été prise conjointement avec les développeurs principaux et plusieurs validateurs indépendants.
La mise à jour a pris effet immédiatement sur tous les serveurs ayant appliqué le patch.
En reconnaissance de leur découverte cruciale, Veria Labs s’est vu attribuer une prime de bug bounty de 250 000 dollars pour avoir identifié cette vulnérabilité restée cachée si longtemps dans l’architecture du ledger.
Voir Aussi
Pourquoi la limite de 100 milliards a tenu
À ce jour, aucune création frauduleuse de nouveaux tokens n’a été observée sur le réseau XRP. D’après coindesk.com, environ 99,986 milliards de tokens restent en circulation malgré cette fenêtre ouverte pendant dix ans. Cela s’explique par deux facteurs : premièrement, exploiter cette faille nécessitait des opérations délibérées et sophistiquées ; deuxièmement, les mécanismes de surveillance communautaires ont permis une réaction rapide dès sa découverte.
Cette stabilité est particulièrement notable alors que le token XRP occupe actuellement la cinquième place mondiale en capitalisation boursière. Son prix s’établit aujourd’hui à 1,41 dollar, quasiment inchangé sur les dernières 24 heures (+0,01 %) et stable sur trente jours (+0,04 %). Malgré ce contexte technique tendu, aucune panique majeure n’a été observée sur les marchés lors de l’annonce du patch d’urgence ; les investisseurs semblent avoir intégré que l’incident n’a pas affecté l’offre réelle ni la sécurité globale du protocole.
Controverse sur la centralisation de XRP
La gestion expresse du correctif a relancé les débats autour du degré réel de centralisation du réseau XRP.
Justin Bons (Cyber Capital) a accusé Ripple et ses partenaires d’avoir démontré leur contrôle centralisé en contournant les procédures classiques pour appliquer le patch. À l’inverse, certains validateurs indépendants comme XRP Kuwait ont rejeté cet argument : selon eux, coordonner rapidement une réponse à une menace critique ne prouve pas nécessairement une mainmise centralisée mais plutôt un sens aigu des responsabilités collectives face au risque systémique.
Pourquoi ça compte
Cette affaire met en lumière un paradoxe : même un protocole aussi ancien que le XRP Ledger peut receler des failles majeures durant des années sans être repérées ni exploitées – mais aussi démontrer sa résilience grâce à une mobilisation rapide des équipes et au maintien d’une offre stable (99,986 milliards) malgré un risque théorique colossal (18 000 milliards).
Les facteurs déterminants
Le correctif d'urgence publié le 25 septembre pour le XRP Ledger, suite à la découverte le 22 septembre d'un bug permettant de créer jusqu'à 18 000 milliards de XRP en une seule transaction, reste un point de surveillance immédiat : si tous les validateurs n'appliquent pas ce patch rapidement, le risque d'exploitation persiste, bien que la XRP Ledger Foundation affirme qu'aucun nouveau XRP n’a été créé à ce jour.