XRP Ledger corrige un débordement critique pouvant créer de nouveaux XRP

Les développeurs de XRP Ledger ont révélé et corrigé une vulnérabilité critique du moteur de paiement qui pouvait créer des XRP utilisables à partir de rien. Le correctif figure dans xrpld 3.4.1, publié le 25 septembre 2026. Le rapport public du 9 octobre indique qu’aucune preuve d’exploitation sur un réseau public n’a été trouvée.

Comment la faille pouvait fonctionner

Le problème venait d’une addition d’entiers 64 bits sans contrôle de débordement. Un paiement conçu à cet effet pouvait consommer des centaines d’offres inhabituelles : chaque montant de XRP était valide séparément, mais leur total dépassait la limite puis revenait à une petite valeur.

Les propriétaires des offres recevaient les montants complets, tandis que l’acheteur ne payait que le total réduit après débordement. La différence devenait de nouveaux XRP utilisables. Les lecteurs peuvent consulter le marché au comptant XRP/USDT et le marché perpétuel XRPUSDT vérifiés sur OrangeX.com.

Pourquoi les contrôles existants ont échoué

XRPL disposait déjà d’un invariant interdisant à une transaction de créer des XRP. Mais ce contrôle additionnait les variations de solde avec un compteur 64 bits similaire, débordait de la même manière et ne voyait qu’une commission normale. La limite par compte ne détectait rien non plus si les nouveaux XRP étaient répartis entre des centaines de comptes.

La logique vulnérable remontait au moteur de paiement écrit en 2015. Une activité normale ne pouvait pas déclencher le scénario par accident : il fallait des centaines d’offres aux prix irréalistes et un paiement construit pour toutes les consommer simultanément.

Ce qui change dans xrpld 3.4.1

La nouvelle version vérifie les débordements lors de l’addition des offres et de la combinaison de plusieurs chemins de paiement. Si le total dépasserait la limite, le chemin échoue proprement et aucun XRP n’est créé. L’invariant utilise désormais un compteur plus large et d’autres agrégations de soldes ont été renforcées.

Le correctif s’active dès la mise à niveau du serveur, sans attendre le processus habituel d’amendement. Les développeurs ont estimé que la gravité le justifiait : publier le code tout en retardant l’activation aurait rendu l’attaque visible et encore possible pendant des semaines. Le 25 septembre, plus de 80 % des validateurs de la liste de confiance par défaut exécutaient la version protégée.

Les opérateurs doivent utiliser xrpld 3.4.1 ou une version ultérieure. Retrouvez d’autres informations dans les actualités crypto d’OrangeX.com et les ressources officielles du Centre de confiance OrangeX.com.

OrangeX.com Analysis

Le constat immédiat est que la voie publique de création de XRP est fermée et qu’aucune exploitation n’a été détectée. L’incident montre qu’une même hypothèse arithmétique peut neutraliser la logique de paiement et un invariant de sécurité. Le compteur plus large ajoute une barrière indépendante.

L’incertitude restante concerne les preuves : l’absence d’indice ne démontre pas absolument qu’aucune exploitation n’a eu lieu. Le schéma très artificiel devrait toutefois faciliter l’analyse historique. Il faudra suivre les prochains audits et l’adoption des versions prises en charge. Cette analyse ne prédit pas l’évolution du prix du XRP.