L'outil d'IA détecte une faille critique du XRP Ledger avant que les hackers ne puissent en profiter

• Annonce -

Un outil d’audit de sécurité piloté par l’IA a identifié une vulnérabilité critique de double dépense au sein du XRP Ledger en février 2026, susceptible d’empêcher la perte de centaines de millions d’actifs utilisateurs avant qu’un seul portefeuille ne soit touché.

Ce que le bug a réellement fait

La vulnérabilité se situait à l’intersection de deux fonctionnalités spécifiques du XRPL : les paiements partiels et certaines logiques de contrats intelligents de type escrow. À elle seule, aucune de ces fonctionnalités n’était le problème. Combinées, dans des conditions particulières, elles ont créé un chemin d’exploitation qui aurait pu permettre à un attaquant de tromper le registre pour qu’il enregistre un paiement comme entièrement réglé alors que seule une fraction du XRP prévu a réellement été transférée.

La cible pratique d’une telle exploitation aurait été les AMMs et DEXs opérant sur le ledger. Les deux dépendent d’une logique de règlement précise pour fonctionner correctement. Une transaction qui paraît complète tout en ne délivrant qu’une valeur partielle est exactement le type d’incohérence qui aspire la liquidité des AMMs et DEXs avant que quiconque ne se rende compte que la comptabilité est erronée.

Le bug n’était pas simple. Il nécessitait de simuler des interactions relevant de cas limites que les processus d’audit humains standard mettent rarement en évidence, c’est précisément pour cela qu’il est resté non détecté jusqu’à ce qu’un outil de sécurité basé sur l’IA le trouve.

Comment il a été trouvé et corrigé

La découverte est attribuée à un outil d’audit par IA utilisant une méthodologie de vérification formelle, semble-t-il, provenant d’une entreprise opérant dans l’espace CertiK ou Immunefi. La vérification formelle fonctionne en modélisant mathématiquement le comportement du code sur des milliards d’états de transactions possibles, y compris des combinaisons que des auditeurs humains ne penseraient pas à tester, car elles sortent des schémas d’utilisation normaux. La vulnérabilité se trouvait dans l’une de ces combinaisons.

Après la découverte, la XRPL Foundation et l’équipe d’ingénierie de Ripple ont travaillé en privé avec la société de sécurité afin d’élaborer un correctif avant toute divulgation publique. Le correctif a ensuite été soumis via le processus standard de gouvernance des amendements du XRPL, qui exige 80% de consensus du réseau de validateurs sur une période de 14 jours pour être adopté. L’amendement a été approuvé. Aucun fonds n’a été perdu. Zéro.

Le correctif est intégré dans la version 2.3.0 de rippled et les versions ultérieures.

                Le marché crypto a encore un catalyseur à intégrer et il arrive dimanche

Pourquoi la réponse de la gouvernance compte

Le correctif technique n’est qu’une partie de l’histoire. La réponse en matière de gouvernance en est une autre. Le XRPL a résolu une vulnérabilité critique sans hard fork, sans scission de chaîne, et sans aucune période d’indisponibilité du réseau. Le processus d’amendement, que certains critiques du XRPL ont parfois décrit comme lent ou excessivement prudent, a traité efficacement un problème de sécurité réellement sérieux, sans aucun dommage collatéral pour les utilisateurs.

Pour les acteurs institutionnels utilisant l’infrastructure de paiement de Ripple, ce résultat a un poids réel. La capacité d’un grand réseau de couche 1 à corriger un défaut critique au niveau de la logique de code, avant toute exploitation, grâce à un processus ordonné de consensus des validateurs, est un type de bilan opérationnel qui compte lorsque la conversation évolue vers une adoption institutionnelle à grande échelle.

Le signal plus large

Cet incident représente l’un des premiers exemples les plus marquants d’outils d’audit d’IA générative identifiant des vulnérabilités dans une infrastructure blockchain de production que la revue humaine a manquées. L’implication n’est pas que les auditeurs humains sont obsolètes. Il s’agit plutôt du fait que la combinaison d’une vérification formelle à l’échelle de la machine et d’une expertise humaine crée une posture de sécurité sensiblement plus solide que ce que produit l’une ou l’autre seule.