Dans le monde des cryptomonnaies, l'offre fixe est souvent perçue comme une garantie sacrée, l'équivalent numérique de l'or dans un coffre-fort. Pourtant, une vulnérabilité du XRP Ledger, dissimulée depuis 2015, a montré à quel point cette assurance peut être fragile : un bug dans le moteur de paiement permettait de créer des XRP dépensables au-delà de la limite de 100 milliards de jetons.
Les chercheurs Cayden Liao et Veria AI ont découvert le problème via le programme de bug bounty en 22 septembre 2026. RippleX a reproduit l'attaque sur un serveur de test et confirmé qu'un attaquant pouvait générer de nouveaux jetons en exploitant un dépassement d'entier de 64 bits lors de la somme de nombreuses offres dans l'échange intégré. L'acheteur payait une somme dérisoire, tandis que les vendeurs recevaient le montant complet — la différence se transformait en « nouveaux » XRP, qui pouvaient ensuite être dépensés.
Les 100 milliards de XRP ont tous été créés lors du lancement du réseau en 2012, et le protocole ne prévoyait initialement aucune émission supplémentaire. Le bug est resté inaperçu pendant une décennie, car les transactions ordinaires n'approchaient jamais de la limite de dépassement. La vérification « sans création de XRP » reposait sur la même arithmétique et laissait donc aussi passer l'anomalie, tandis que la limite de solde d'un compte était contournée en répartissant les fonds sur des centaines d'adresses.
Le correctif a été publié dans xrpld 3.4.1 dès le 25 septembre — en urgence, sans le vote habituel des validateurs. Plus de 80 % des nœuds ont été mis à jour le jour même. Les développeurs n'ont trouvé aucune trace d'exploitation sur les réseaux publics, mais le simple fait que la vulnérabilité ait subsisté si longtemps incite à réfléchir : qui contrôle réellement les règles selon lesquelles « fonctionne » notre monnaie numérique ?
Pour les détenteurs de XRP et d'autres crypto-actifs, cette histoire rappelle une vérité simple : la confiance dans le code n'est pas une abstraction, mais un calcul quotidien des risques. Les bug bounties et les correctifs rapides fonctionnent, mais ils ne dispensent pas de diversifier et de comprendre que même les règles « immuables » exigent parfois une intervention humaine.
En fin de compte, la mise à jour a renforcé la protection en ajoutant une vérification de dépassement et en élargissant le compteur d'invariant. La principale leçon pour quiconque détient des actifs sur une blockchain : la fiabilité d'un système ne se mesure pas seulement à ses succès passés, mais aussi à sa capacité à corriger rapidement des fissures cachées.
