Un pont inter-chaînes reliant le XRP Ledger au réseau tx (anciennement Coreum) a été vidé de près de 200 000 dollars en XRP en seulement 97 minutes, le 9 août 2026. L’attaque exploite une faille dans le code des relais qui a confondu des dépôts falsifiés avec des transactions légitimes, relançant le débat sur la sécurité des infrastructures de pont en crypto.
🔑 En bref
- Environ 200 000 XRP (≈200 000 $) dérobés en 97 minutes sur le pont XRPL–tx
- Faille : les relais approuvaient des paiements portant la note du pont sans vérifier l’adresse de destination
- tx a suspendu le pont, corrigé le code et déposé plainte auprès du FBI (IC3)
- Le XRP repasse sous 1 $ le 11 août 2026, une première depuis janvier 2024
- Produits dérivés : funding rates +211 %, open interest +7,6 % à 2,52 Md$
Le fonctionnement d’un pont trahi par un défaut de validation
Un pont inter-chaînes fonctionne généralement sur un modèle de dépôt-reçu. L’utilisateur envoie des XRP vers un portefeuille de réserve sur le XRP Ledger ; le pont émet alors une quantité équivalente de XRP pontés sur la chaîne destination (ici tx, anciennement Coreum). Pour effectuer le chemin inverse, l’utilisateur brûle les jetons pontés et le relais libère les XRP véritables depuis la réserve.
Dans cette attaque, le code du relais a accepté des transactions qui n’avaient jamais livré de XRP dans la réserve. Selon tx, le relais traitait les paiements contenant la note du pont (memo) sans vérifier au préalable l’adresse de destination. L’attaquant a ainsi pu émettre des XRP non soutenus sur la blockchain tx, puis les échanger contre de véritables XRP retenus en garantie par le pont.
Chronologie d’un vol en 97 minutes
La fuite a débuté à 19h16 UTC le 9 août 2026. Chaque transaction frauduleuse a été autorisée par 17 des 28 relais du pont, soit une majorité conforme au seuil de signature défini. Les relais sont des programmes qui surveillent simultanément les deux blockchains et débloquent les retraits lorsque leurs propres registres indiquent qu’un retrait est dû. Le pont leur confirmait que les dépôts étaient réels, car ses propres enregistrements avaient déjà qualifié les paiements frauduleux comme dépôts valides.
| Paramètre | Valeur |
|---|---|
| Date du début de l’attaque | 9 août 2026, 19h16 UTC |
| Durée totale du drainage | 97 minutes |
| Jetons dérobés | ≈ 200 000 XRP |
| Valeur estimée | ≈ 200 000 $ |
| Relais ayant signé | 17 sur 28 |
| Réseau destination | tx (ex-Coreum) |
Réaction de tx : suspension, correctif et dépôt de plainte
tx a suspendu le pont immédiatement après la détection de l’attaque. Le communiqué officiel publié sur X le 11 août 2026 précise : « On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge’s reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. »
L’équipe a engagé des spécialistes en criminalistique blockchain pour tracer les fonds et déposé une plainte auprès du Internet Crime Complaint Center (IC3) du FBI. Le code vulnérable a été identifié et corrigé. En revanche, tx n’a pas encore précisé comment les détenteurs affectés seront indemnisés, une question sensible alors que les XRP volés ont été rapidement dispersés via plusieurs autres adresses selon le suivi on-chain.
« Le pont a été suspendu, la vulnérabilité identifiée et toutes les solutions potentielles sont en cours d’évaluation. »
Communiqué tx, 11 août 2026
Contre-coup sur le marché XRP
L’incident a accentué la pression baissière sur le XRP. Le 11 août 2026, le token est passé sous le seuil symbolique de 1 dollar, une première depuis janvier 2024 selon Pluang. Le repli s’inscrit dans une tendance plus large : le XRP avait déjà cédé 6 % durant les deux premiers jours de février 2026 et s’échangeait à 1,57 $ au moment de la rédaction d’une source de Yellow.
Les indicateurs dérivés signalent une activité intense. Les funding rates (taux de financement) ont bondi de 211 % et l’open interest (intérêt ouvert) a augmenté de 7,6 % pour atteindre 2,52 milliards de dollars. Le RSI (Relative Strength Index, indicateur de momentum) est descendu jusqu’à 25, un niveau de survente, avant de remonter à 35 — traduisant un rebond technique du XRP face au Bitcoin après cinq séances consécutives de baisse.
| Indicateur | Variation | Lecture |
|---|---|---|
| Prix XRP | < 1 $ (11 août 2026) | Plus bas depuis janvier 2024 |
| Funding rates | +211 % | Positionnement spéculatif haussier |
| Open interest | +7,6 % à 2,52 Md$ | Intérêt accru des traders |
| RSI | 25 → 35 | Survente à rebond technique |
Les ponts, maillon structurellement faible de l’interopérabilité
Le cas du pont tx s’ajoute à une longue liste d’incidents ayant frappé les bridges crypto. Ces protocoles concentrent souvent des centaines de millions de dollars en réserve tout en reposant sur des smart contracts et des logiciels de validation difficiles à auditer en profondeur. Le défaut ici n’était pas cryptographique mais logique : une validation insuffisante de l’adresse de destination, un type d’erreur que des tests d’intégration rigoureux auraient pu détecter.
Pour les utilisateurs, cela rappelle qu’un jeton ponté reste un créance sur la réserve du pont, et non un XRP natif. Tant que les protocoles d’audit, de bug bounty et de diversification des relais ne sont pas standardisés, chaque nouveau pont devient une cible privilégiée pour les attaquants.
Conclusion : la sécurité avant la croissance
L’attaque du pont tx illustre une nouvelle fois que la liquidité inter-chaînes reste un terrain expérimental. La rapidité du drainage — 97 minutes — et le consensus factice des 17 relais soulignent la vitesse à laquelle un défaut de validation peut être exploité à grande échelle. Scénario haussier : si tx indemnise intégralement les utilisateurs et publie un audit complet, la confiance peut revenir et le XRP pourrait effacer la cassure des 1 $. Scénario baissier : en l’absence de garanties, l’incident alimente la défiance et pèse sur la valorisation du token à moyen terme. Dans les deux cas, l’épisode confirme que la sécurité logicielle reste le principal goulot d’étranglement de l’interopérabilité blockchain.
Sources
- CoinDesk – XRP bridge drained for $200,000 after software mistook fake deposits for real ones
- BeInCrypto – Le débat sur les origines du XRP
- Journal du Coin – La fake news BlackRock qui a fait trembler XRP
- Yellow – Ripple débloque 1,6 milliard en XRP
- Yahoo Finance – Alerte XRP : des arnaques visent les employés
- Pluang – XRP rebound and momentum on Ripple XRPL
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
