L’un des plus grands réseaux cryptographiques au monde vient de corriger une faille qui aurait permis à un attaquant d’imprimer de la cryptomonnaie contrefaite à partir de rien et de la dépenser comme s’il s’agissait de la monnaie réelle. Selon un rapport de divulgation de vulnérabilité publié sur XRPL.org vendredi, un dépassement d’entier dans le moteur de paiement du XRP Ledger aurait pu permettre à une transaction bon marché et truquée de créer des pièces au-delà de l’offre fixe du réseau. C’est la dernière d’une série de bugs d’impression d’argent dans la cryptosphère cette année, notamment une faille Zcash en juin et une exploitation du Liquid Network le mois dernier qui a permis aux attaquants d’encaisser des pièces non garanties contre du vrai bitcoin.
Sur le plan technique, voici comment l’exploitation aurait fonctionné. Lorsqu’un paiement consommait de nombreuses offres du livre des ordres intégré du XRP Ledger, le moteur additionnait la dette XRP en utilisant des mathématiques sur 64 bits sans vérification de débordement. Si le total devenait trop élevé, il se repliait sur un petit nombre, payant les propriétaires d’offres en totalité tout en faisant payer l’acheteur à peine.
Le rapport de divulgation indique que le bug remonte probablement à 2015, lorsque le moteur de paiement actuel a été écrit.
Pour tirer profit de ce bogue, un attaquant n’aurait besoin que de quelques centaines de comptes publiant des offres à des prix absurdes, d’un paiement qui balaie ces offres et de quelques centaines de dollars en XRP en réserves remboursables plus les frais. « Un attaquant aurait pu créer des XRP utilisables bien au-delà de l’offre totale dans une seule transaction validée », indique le rapport de divulgation. À l’heure où ces lignes sont écrites, CoinGecko estime que la valeur de l’ensemble de l’offre circulante de XRP est légèrement inférieure à 88 milliards de dollars. Cela dit, on ignore quelle valeur réelle un attaquant hypothétique aurait pu extraire tout en vendant d’importantes sommes de XRP sur le marché.
Le chercheur Cayden Liao a signalé la faille dans le cadre du programme de bug bounty XRPL le 22 septembre, et RippleX, l’antenne développeurs de Ripple, l’a reproduite sur un serveur de test privé avant de la classer comme critique. Une mise en sécurité d’urgence du logiciel xrpld a suivi le 25 septembre. Cette version a également corrigé une seconde faille, moins grave, présente dans la fonctionnalité Batch encore inactive de XRPL, qui aurait pu stopper le réseau si elle était restée en place.
« En raison de la nature sensible à la sécurité de la correction, le code source de cette version n’a pas encore été publié », indiquent les notes de version, et le journal des modifications décrit le correctif comme un renforcement divers des calculs entiers dans le moteur de paiement et les aides au grand livre. Le code a été publié sur GitHub vendredi.
« La correction a été livrée dans xrpld 3.4.1. Nous n’avons trouvé aucune preuve que ce problème ait été exploité sur un réseau public », affirme le rapport de divulgation, présentant l’épisode comme une réussite. « Des découvertes de ce type relatives à des problèmes dormants depuis longtemps illustrent précisément l’objectif du programme de bug bounty. »
Aucun Vote Requis
En règle générale, les changements de règles du XRP Ledger nécessitent l’approbation d’un vote des validateurs. « Si un amendement obtient plus de 80 % de soutien pendant deux semaines, l’amendement est adopté et le changement s’applique définitivement à toutes les versions ultérieures du grand livre », explique la documentation XRPL, ajoutant que de telles corrections de bogue exigent aussi des amendements.
Cette dernière correction pour le bogue d’inflation a été appliquée sans vote, prenant effet sur chaque serveur lors de sa mise à niveau. « C’est la première fois qu’un changement dans le traitement des transactions est expédié intentionnellement de cette manière depuis l’introduction du système d’amendements il y a plus de dix ans », peut-on lire dans le rapport de divulgation, qui soutient qu’un vote aurait laissé intact un bogue exploitable pendant des semaines. Le rapport admet que cette solution de facilité risquait de fragmenter le réseau pendant la mise à niveau des serveurs. « Dans ce cas, une interruption du réseau serait en fait préférable à un traitement des transactions d’exploitation et à l’apparition d’un état de grand livre incorrect qui serait difficile à corriger ensuite », indique-t-il.
Par défaut, les serveurs XRPL font confiance à deux listes de validateurs, l’une publiée par la XRPL Foundation et l’autre par Ripple. Les deux nomment actuellement les 35 mêmes validateurs, dont l’un se présente avec un domaine ripple.com dans la liste de Ripple. « Les éditeurs ne participent pas à la validation quotidienne des nouvelles transactions, mais ils détiennent un pouvoir important pour choisir les validateurs largement fiables », reconnaît la documentation XRPL.
Plus de 80 % de ces 35 validateurs tournaient le binaire propriétaire en version fermée au jour de la divulgation, selon le rapport. « Je suis l’un des 35 nœuds dUNL, et j’ai eu la possibilité de refuser la mise à niveau », a écrit l’opérateur de validateur et directeur technique de HashLabs, Daniel Keller, sur X. « J’ai téléchargé le binaire, j’ai comparé les fichiers, et compte tenu de la gravité de la correction, j’ai mis à jour mon nœud. »
L’OG de la Crypto Centralisée
Une cinquantaine d’opérateurs triés sur le volet adoptant un changement de règle sans annonce en une journée est exactement le genre de centralisation que les critiques de XRP dénoncent depuis longtemps. Ainsi, dès 2013, le développeur Bitcoin précoce Greg Maxwell soutenait que le design des validateurs de Ripple ferait probablement que les utilisateurs ne feraient confiance qu’à quelques grands nœuds, ce qui en ferait essentiellement un système centralisé, et que le XRP n’était fondamentalement qu’une autre altcoin préminée.
Bonne partie de la crypto évolue aujourd’hui autour des chaînes de blocs d’entreprise et des stablecoins émis de manière centralisée, mais Ripple est l’OG de l’exploitation centralisée de la crypto. Selon XRPL.org, les 100 milliards de XRP ont été créés avant la création de l’entreprise qui est devenue Ripple, et les fondateurs leur ont ensuite donné 80 milliards. « Depuis lors, l’entreprise a régulièrement vendu du XRP, l’a utilisé pour renforcer les marchés de XRP et améliorer la liquidité du réseau, et a incité au développement de l’écosystème dans son ensemble », indique le site.
L’avocat Preston Byrne a soutenu que les fondateurs avaient accepté d’allouer 80 % des pièces à l’entreprise le jour de son incorporation en septembre 2012, des mois avant les premières transactions du registre le 1er janvier 2013. « À mon avis, la réponse est oui : Ripple a créé le XRP, ils possèdent la majorité et il a été émis après la création de l’entreprise », a-t-il écrit.
En décembre 2020, la SEC a poursuivi Ripple et deux dirigeants pour avoir, selon les accusations, levé plus de 1,3 milliard de dollars via une offre de valeurs mobilières non enregistrée. Après la victoire de Trump à l’élection de 2024, Ripple a versé environ 4,9 millions de XRP à son comité inaugural. Avant l’élection, le co-fondateur Chris Larsen avait donné plus de 11,8 millions de dollars à des PAC pro-Harris, tandis que le directeur juridique de Ripple, Stuart Alderoty, a personnellement versé 300 000 dollars en XRP à un comité de financement en faveur de Trump. En août 2025, la SEC et Ripple ont conjointement abandonné leurs appels, mettant fin à l’affaire avec une pénalité de 125 millions de dollars laissée en place.
A couple years later, Ripple was telling the California State Assembly that we don’t need bitcoin. pic.twitter.com/rjRdPdGCo2
— Kyle Torpey (@kyletorpey) January 24, 2025
Les Bitcoiners ont également tourné en dérision Ripple pour ce qui était perçu comme des attaques marketing contre Bitcoin. Larsen, alors PDG de Ripple, a précédemment témoigné devant une commission de l’Assemblée d’État de Californie en 2015, lors d’un panel sur les monnaies virtuelles qui comprenait aussi Coinbase et Coin Center. « Nous ne pensons pas que le monde ait besoin d’une autre monnaie », avait-il déclaré.
En 2022, la fondation climatique de Larsen a été le finançeur initial de la campagne Change the Code, Not the Climate, qui a poussé Bitcoin à abandonner la preuve de travail et a ensuite engendré la sculpture Skull of Satoshi à yeux laser. Après que Ripple a offert le crâne à la communauté Bitcoin en 2025, Larsen a pris ses distances avec l’effort. « La campagne n’a pas réussi, et c’est OK ! Nota — Ripple n’a pas financé cette campagne », a-t-il écrit.
Notamment, Matt « Fortune Favors the Brave » Damon est prévu pour revenir dans l’univers de la crypto lors d’un événement Ripple d’ici la fin du mois, prolongeant la longue chaîne de réputation publique dans la crypto.
Pas la Première Faille d’Impression de Monnaie
Le monde de la cryptographie a une longue et riche histoire de bogues pouvant permettre à un attaquant d’imprimer de l’argent à partir de rien. En 2010, une faille de débordement sur Bitcoin a créé plus de 184 milliards de bitcoins en une seule transaction avant que la correction n’arrive en quelques heures et que la chaîne soit forkée pour tout effacer. En 2018, les développeurs de Bitcoin Core ont discrètement corrigé une pénalité d’inflation critique, initialement divulguée uniquement comme une vulnérabilité de déni de service.
La fondation Zcash a discrètement corrigé une faille de contrefaçon en 2018, et la faille de juin a nécessité une dérive d’urgence et puis une dérive dure. La Fondation Zcash n’a pas constaté de création de valeur non autorisée, mais la pool protégée de Zcash ne peut pas être auditée de manière transparente comme Bitcoin. Les attaquants du Liquid Network le mois dernier ont retenu 598,5 bitcoins et ont exigé une prime de 10 % via des messages postés directement sur la blockchain Bitcoin.
Le Problème d’IA dans la Crypto
Parallèlement, la recherche guidée par l’IA pour déceler des bogues a semé le trouble dans l’industrie. En effet, Taylor Hornby a découvert la faille Zcash signalée plus tôt cette année en travaillant avec le modèle Opus 4.8 d’Anthropic.
Juste ce mercredi, le chercheur de l’Ethereum Foundation, Justin Drake, a suggéré que l’IA pourrait rompre les signatures ECDSA de Bitcoin en quelques mois, une affirmation largement contestée par les experts de Bitcoin. En mai, Manuel Aráoz, co-fondateur d’OpenZeppelin, a déclaré qu’il considérait tout DeFi comme non sûr. « Les agents codés sont super-humains pour trouver des vulnérabilités, et la sécurité des contrats intelligents est trop asymétrique : les défenseurs doivent corriger chaque bogue, alors que les attaquants n’en ont besoin que d’un seul pour voler des fonds », a-t-il expliqué.
Le rapport de divulgation attribue à Liao, aux côtés de Veria AI, produit de Veria Labs, la startup qu’il a cofondée. « Veria AI est un pentester autonome : il cartographie l’ensemble de votre surface d’attaque, démontre de véritables exploits et rédige la correction », peut-on lire sur le site de l’entreprise. Aucun des deux n’a déclaré comment la faille XRPL a été découverte, mais Veria a déjà publié des articles montrant que son IA avait détecté une faille de falsification de preuve dans la blockchain Aleo qui avait valu une prime de 65 000 dollars.
Les piratages dans Bitcoin et dans l’univers crypto sont devenus plus problématiques ces derniers mois, les portefeuilles matériels, référence en matière de conservation autonome hors ligne, étant eux aussi la cible. Une faille dans le firmware des portefeuilles Coldcard de Coinkite a permis à des attaquants de siphonner plus de 100 millions de dollars en bitcoin en juillet, et vendredi, Ledger a commencé à enquêter sur des fonds évaporés provenant d’appareils vendus par un distributeur agréé en Asie du Sud-Est, dans le cadre d’une attaque sur la chaîne d’approvisionnement.
Après que sa faille eut été divulguée en juin, le ZEC de Zcash a chuté d’environ 60 % en quelques jours, mais le XRP n’a pas bougé de manière notable depuis la révélation de cette nouvelle faille.
