Le plafond d’approvisionnement de 100 milliards de XRP est sécurisé après que RippleX ait corrigé une faille critique du XRPL

RippleX, l’équipe d’ingénierie et de développement logiciel de Ripple, a corrigé une vulnérabilité critique dans le XRP Ledger (XRPL). 

La faille aurait notamment pu permettre aux attaquants de créer environ 18,45 billions de XRP en une seule transaction, dépassant potentiellement le plafond initial de 100 milliards de jetons du réseau.

Les chercheurs de la start-up américaine de cybersécurité Veria Labs ont découvert la faille à l’aide d’un agent de sécurité basé sur l’intelligence artificielle, qui a développé un exploit fonctionnel dans un environnement de test local. La vulnérabilité n’était pas détectée dans le code de traitement des paiements du XRPL depuis 2015.

Dans un rapport du 12 octobre, les chercheurs ont averti que la faille aurait pu mettre en danger la valeur marchande déclarée de 94 milliards de dollars du XRP. La vulnérabilité impliquait un débordement d’entier dans le moteur de paiement de XRPL. Lorsqu’une transaction traitait plusieurs ordres d’échange décentralisés, le logiciel pouvait calculer de manière incorrecte le total XRP requis pour les régler.

Cela permettait aux vendeurs de recevoir l’intégralité des montants associés à leurs commandes tandis que l’acheteur était facturé beaucoup moins. Une deuxième erreur arithmétique dans le mécanisme de protection de l’approvisionnement du grand livre pourrait alors empêcher le rejet de la transaction.

Veria Labs estime qu’une seule transaction réussie pourrait créer plus de 184 fois l’offre XRP initiale de XRPL. Les chercheurs ont également déclaré que l’attaque pourrait être répétée dans de bonnes conditions.

« Un attaquant aurait pu créer du XRP consommable bien au-delà de l’offre totale en une seule transaction validée », a déclaré Veria Labs.

La société a signalé la vulnérabilité le 22 septembre 2026. Le correctif a été fusionné le lendemain et la version logicielle d’urgence, la version 3.4.1, est arrivée le 25 septembre.

La réponse a contourné le processus de modification standard de XRPL, qui nécessite généralement le soutien de plus de 80 % des validateurs de confiance sur deux semaines.

Pour le contexte, les développeurs ont opté pour une mise à jour logicielle immédiate, car la publication du correctif en attendant le processus d’approbation habituel aurait pu exposer la vulnérabilité aux attaquants avant que le réseau ne soit entièrement protégé. La divulgation indique que plus de 80 % des validateurs par défaut ont été mis à niveau le jour de la sortie.

La divulgation fait suite à un incident de sécurité distinct en août au cours duquel un attaquant a volé environ 200 000 $ sur le pont inter-chaînes tx XRPL. L’attaque impliquait un logiciel qui reconnaissait à tort les transactions comme des dépôts même si le XRP correspondant n’avait pas atteint les réserves du pont.

L’opérateur du pont a ensuite arrêté le service et corrigé la vulnérabilité.

Cela dit, dimanche, les développeurs de XRPL ont annoncé leur intention de renforcer les tests de sécurité grâce à de nouveaux tests obligatoires des vulnérabilités corrigées avant les versions et à une détection étendue des bogues assistée par l’IA.

« En collaboration avec RippleX et la communauté, nous veillerons à ce que le XRP Ledger soit protégé contre de telles vulnérabilités. Cela signifie appliquer radicalement la vérification formelle et les tests contradictoires de l’IA, collaborer étroitement avec les chercheurs en sécurité et renforcer le programme de bug bounty. «  Ils ont déclaré sur X.