Un bug critique découvert dans XRP aurait permis de créer des millions de milliards de tokens

RippleX et la XRP Ledger Foundation ont révélé une grave vulnérabilité dans le moteur de paiement du XRP Ledger. Un attaquant aurait pu, au moyen d’une transaction spécialement conçue, créer des XRP bien au-delà du plafond fixe de 100 milliards de jetons. La faille était présente dans le code depuis 2015, n’a jamais été exploitée sur un réseau public et a depuis été corrigée dans la version xrpld 3.4.1.

XRP est disponible chez Bitvavo et OKX.

En bref :

• Un bug de dépassement d’entier dans le moteur de paiement du XRP Ledger rendait théoriquement possible la création de 18 000 milliards de XRP en une seule transaction.
• La faille datait de 2015 et a été signalée via le programme de prime aux bugs du XRPL. Le chercheur à l’origine du signalement a reçu la récompense maximale de 250 000 $.
• La vulnérabilité a été corrigée le 25 septembre 2026 dans xrpld 3.4.1. Rien n’indique que le bug ait jamais été exploité.

Un bug de dépassement d’entier permet la création de 18 000 milliards de XRP

Le chercheur Cayden Liao a signalé, via le programme de prime aux bugs du XRPL, que son équipe avait pu créer environ 18 000 milliards de XRP en une seule transaction à l’aide d’une preuve de concept. Cela représente environ 184 fois l’offre totale prévue de 100 milliards de XRP. Pour cette découverte, l’équipe a reçu la prime maximale de 250 000 $.

Selon le communiqué officiel de divulgation de la XRP Ledger Foundation, il s’agit d’un bug de dépassement d’entier dans le moteur de paiement de xrpld. La faille remonte à du code écrit dès 2015 et était présente dans les versions jusqu’à xrpld 3.4.0 inclus. Le correctif a été déployé le 25 septembre 2026 via la version 3.4.1. Ce jour-là, plus de 80 % des validateurs standard avaient déjà effectué la mise à jour.

La XRP Ledger Foundation indique qu’aucun élément ne prouve que la vulnérabilité ait été exploitée sur un réseau public. Aucun fonds n’a été perdu et aucune clé privée n’a été compromise.

Deuxième vulnérabilité : une erreur de validation dans les transactions Batch

Outre le bug de dépassement d’entier, le rapport révèle une seconde vulnérabilité, détectée dans la fonctionnalité Batch du XRP Ledger. La fonction Batch, définie par la norme XLS-56, permet à un compte de soumettre jusqu’à huit transactions en une seule fois, comme un ensemble unique, ce qui rend possibles des opérations complexes en plusieurs étapes.

Lors du réexamen des conclusions du Sherlock Attackathon, Denis Angell, de la XRP Ledger Foundation, a découvert qu’un correctif antérieur concernant cet élément était incomplet. Un attaquant qui composait manuellement une transaction en code binaire pouvait encapsuler une transaction interne dans un champ incorrect. Le serveur acceptait cette transaction et l’inscrivait dans le grand livre, ce qui pouvait entraîner des enregistrements erronés permanents ainsi que des problèmes pour les indexeurs externes et les développeurs.

Un risque pesait également sur le consensus du réseau. Comme différentes versions du logiciel reconnaissaient des champs différents, deux versions pouvaient diverger sur la validité d’une même transaction. Sur un réseau où cohabitaient plusieurs versions, cela aurait pu provoquer un blocage, aucun nouveau grand livre n’étant plus validé.

Comme la modification BatchV1_1 n’était pas encore active sur le réseau principal au moment de la découverte, aucun compte ni fonds n’a été touché. Ripple et d’autres validateurs ont temporairement voté contre l’activation de BatchV1_1 afin d’éviter que la vulnérabilité n’atteigne le réseau principal. Après l’introduction de la modification corrective fixBatchV1_2, devenue active le 9 octobre 2026, les votes sont repassés en faveur de BatchV1_1.