L'outil d'IA détecte une faille critique du XRP Ledger avant que les hackers ne puissent en profiter

• Annonce -

Un outil d’audit de sécurité piloté par l’IA a identifié une faille critique de double dépense au sein du XRP Ledger en février 2026, potentiellement en mesure d’empêcher la perte de plusieurs centaines de millions d’actifs utilisateurs avant qu’un seul portefeuille ne soit touché.

Ce que le bug a réellement fait

La vulnérabilité se trouvait à l’intersection de deux fonctionnalités spécifiques du XRPL : les paiements partiels et une certaine logique de contrats intelligents de type dépôt (escrow). À elle seule, aucune de ces fonctionnalités n’était le problème. Combinées, dans des conditions précises, elles ont créé un chemin d’exploitation qui aurait pu permettre à un attaquant de faire enregistrer au registre un paiement comme totalement soldé alors que seule une fraction du XRP prévu avait réellement été transférée.

La cible pratique d’une telle exploitation aurait été les AMMs (Automated Market Makers) et les DEXs (échanges décentralisés) opérant sur le registre. Les deux reposent sur une logique de règlement exacte pour fonctionner correctement. Une transaction qui se lit comme complète tout en ne livrant qu’une valeur partielle est exactement ce type d’écart qui draine la liquidité des AMMs et des DEXs avant que quiconque ne remarque que la comptabilité est erronée.

Le bug n’était pas simple. Il nécessitait de simuler des interactions impliquant des cas limites que les processus classiques d’audit humain font rarement remonter, c’est précisément pour cela qu’il est resté non détecté jusqu’à ce qu’un outil de sécurité par IA le mette en évidence.

Comment il a été trouvé et corrigé

La découverte est attribuée à un outil d’audit par IA utilisant une méthodologie de vérification formelle, apparemment issue d’une société opérant dans l’écosystème CertiK ou Immunefi. La vérification formelle fonctionne en modélisant mathématiquement le comportement du code sur des milliards d’états possibles de transactions, y compris des combinaisons que des auditeurs humains n’auraient pas l’idée de tester, car elles sortent des schémas d’utilisation normaux. La vulnérabilité se trouvait dans l’une de ces combinaisons.

Après la découverte, la Fondation XRPL et l’équipe d’ingénierie de Ripple ont travaillé en privé avec la société de sécurité pour développer un correctif avant toute divulgation publique. Le correctif a ensuite été soumis via le processus standard de gouvernance des amendements du XRPL, qui exige 80% de consensus du réseau de validateurs sur une période de 14 jours pour être adopté. L’amendement a été approuvé. Aucun fonds n’a été perdu. Zéro.

Le correctif est intégré à rippled version 2.3.0 et aux versions ultérieures.

                Le marché crypto n’a plus qu’un catalyseur à intégrer, et il arrive dimanche

Pourquoi la réponse en matière de gouvernance compte

Le correctif technique n’est qu’une partie de l’histoire. La réponse en matière de gouvernance en est une autre. Le XRPL a résolu une vulnérabilité critique sans hard fork, sans scission de chaîne, et sans aucune période d’indisponibilité du réseau. Le processus d’amendement, que certains critiques du XRPL décrivent parfois comme lent ou trop conservateur, a traité efficacement un problème de sécurité réellement sérieux, sans dommage collatéral pour les utilisateurs.

Pour les acteurs institutionnels utilisant l’infrastructure de paiement de Ripple, ce résultat a un poids réel. La capacité d’un grand réseau de couche 1 à corriger un défaut critique au niveau de la logique de code, avant toute exploitation, grâce à un processus ordonné de consensus entre validateurs, est un type de performance opérationnelle qui compte lorsque la discussion évolue vers l’adoption institutionnelle à grande échelle.

Le signal plus large

Cet incident représente l’un des exemples précoces les plus significatifs de la façon dont des outils d’audit d’IA générative identifient des vulnérabilités dans des infrastructures blockchain de production que l’examen humain a manquées. L’implication n’est pas que les auditeurs humains sont obsolètes. C’est que la combinaison de la vérification formelle à l’échelle de la machine et de l’expertise humaine produit une posture de sécurité sensiblement plus solide que ce que chacun n’obtient seul.