XRPL : Ripple supprime 10 000 lignes inactives avant le Lending

Ripple souhaite supprimer plus de 10 000 lignes de code XChainBridge inactif du XRP Ledger alors que le Lending Protocol V1.1 entre dans une revue de sécurité 100 % IA via l'Audit Engine de Sherlock. Ces deux chantiers parallèles interviennent alors que les plateformes crypto font face à ce que CertiK a chiffré à 1,315 milliard de dollars de pertes sur 344 incidents de sécurité au premier semestre 2026, les vulnérabilités de code restant le type d'attaque le plus fréquent. Ces deux initiatives soulignent combien la posture de sécurité évolue avant la fonctionnalité la plus complexe financièrement jamais ajoutée au XRPL.

Pourquoi c'est important

L'amendement XChainBridge (XLS-38) avait été conçu à l'origine pour transférer des actifs entre le XRPL et des sidechains connectées via des serveurs témoins. Après que Ripple a choisi Axelar pour alimenter l'EVM Sidechain en juin 2024, le pont natif a perdu son principal cas d'usage. La fenêtre de 12 à 15 mois accordée par Ripple aux développeurs pour faire émerger une demande de sidechains privées nécessitant XLS-38 a expiré sans aboutir, laissant environ 10 000 lignes inactives à maintenir, relire et patcher indéfiniment.

Le raisonnement de Ripple va droit à un point structurel : le XRPL doit rester léger. Une base de code plus légère réduit la surface d'attaque, abaisse la friction d'intégration des contributeurs et diminue le risque qu'un amendement dormant devienne le point d'entrée du prochain piratage d'envergure. La proposition n'est pas unilatérale. Ripple ne contrôle qu'un seul vote de validateur, et la modification est soumise au processus d'amendement du XRPL. Si la communauté soutient le retrait, le pont serait d'abord marqué comme obsolète avant d'être supprimé dans une version ultérieure une fois le réseau convergent.

Impact sur le marché

Le 27 août, Sherlock a confirmé que le Lending Protocol V1.1 était entré dans une revue intensive 100 % IA via son Audit Engine, un système qui combine plusieurs auditeurs IA et modèles de pointe aux capacités de sécurité spécialisées. Sherlock n'a divulgué ni résultats ni date de fin, et a indiqué qu'un compte-rendu plus complet suivra une fois le processus terminé.

Le pari sur l'IA s'appuie sur un bilan sans complaisance. Une attackathon de 200 000 dollars menée avec Immunefi fin 2025 a couvert 35 498 lignes et attiré 455 soumissions de 131 chercheurs, produisant 94 constats valides dont 15 critiques et 19 de sévérité élevée. Une équipe rouge assistée par IA a déposé 20 tickets spécifiques au lending entre mars et mai, faisant remonter sept bugs confirmés incluant un invariant inversé permettant des collatéraux fantômes, un vecteur de spam sans frais sur les paiements de prêt, et un bug de dépassement d'entier qui aurait pu provoquer un deadlock de nœud. Chaque correctif montre que les tests précédents avaient manqué des choses qu'aucun audit n'avait détectées.