RippleX a lancé un concours de sécurité de 200 000 $ invitant les hackers à identifier des vulnérabilités dans le XRP Ledger's proposé protocole de prêt avant sa mise en service, en partenariat avec la plate-forme de sécurité blockchain Immunefi pour mener ce que les entreprises appellent un "Attackathon" axé sur plus de 35 000 lignes de code C++.
Ce qu'il faut savoir :
- RippleX et Immunefi organisent un concours adverse limités dans le temps du 27 octobre au 29 novembre 2025, visant le protocole de prêt XRPL proposé et six normes techniques connexes.
- Le pool de prix complet de 200 000 $ est débloqué si les chercheurs découvrent au moins une vulnérabilité critique ; sinon, une récompense de secours de 30 000 $ sera répartie entre les participants qui soumettent des résultats valides.
- Le programme teste l'infrastructure de prêt native au grand livre directement intégrée dans le XRP Ledger plutôt qu'à travers des contrats intelligents externes, couvrant les systèmes de crédit non garantis à durée déterminée régis par la norme XLS-66.
Tester la sécurité du protocole avant le lancement
RippleX a annoncé l'initiative le 13 octobre, déclarant que le concours "testerait et renforcerait" le protocole de prêt tout en offrant une piste éducative pour aider les chercheurs en sécurité à comprendre l'architecture du XRP Ledger. Immunefi a décrit l'effort comme un "concours adverse, limité dans le temps pour identifier les vulnérabilités avant que le protocole n'atteigne la production."
Le programme inclut une phase éducative du 13 octobre au 27 octobre, pendant laquelle Immunefi fournit des tutoriels spécifiques au grand livre, des guides Devnet, des environnements de test et des matériels pédagogiques C++.
Les chercheurs en sécurité auront un accès direct aux ingénieurs de Ripple pendant cette période.
Le concours réel se déroule du 27 octobre au 29 novembre.
Les récompenses seront payées en RLUSD, le stablecoin indexé sur le dollar de Ripple, et les participants doivent compléter la vérification de connaissance-du-client par le biais du processus de triage d'Immunefi. La structure des prix crée un résultat binaire : si les chercheurs trouvent au moins une vulnérabilité critique, l'intégralité du pool de 200 000 $ devient disponible selon des règles de distribution forfaitaires avec des primes de performance. Si aucune faille critique n'apparaît, Immunefi répartira 30 000 $ entre ceux qui ont soumis des résultats valides de moindre gravité.
Normes techniques et crédit institutionnel
L'Attackathon cible six normes techniques qui forment la base de ce que Ripple appelle le "DeFi institutionnel" sur le XRP Ledger. L'accent principal est mis sur XLS-66, qui définit le protocole de prêt lui-même, mais les chercheurs examineront également XLS-65 pour les coffres d'actifs uniques, XLS-33 pour les tokens multi-usages, XLS-70 pour les identifiants, XLS-77 pour la fonctionnalité de congélation profonde et XLS-80 pour les domaines autorisés.
Ces normes reflètent l'approche de Ripple pour construire des marchés de crédit directement dans le grand livre plutôt que de les superposer via des contrats intelligents. La documentation technique de l'entreprise décrit un système de prêt groupé avec exécution sur chaîne couplée à une évaluation du crédit hors chaîne.
Les normes adjacentes traitent des exigences de conformité, de la récupérabilité des actifs et des contrôles d'identité en tant que fonctions natives du grand livre.
Le brief de compétition d'Immunefi précise que les chercheurs devraient se concentrer sur les vulnérabilités affectant la sécurité des fonds, la solvabilité des coffres, les calculs d'intérêts, la représentation de la dette, les mécanismes de récupération, les sémantiques de congélation, les enregistrements administratifs et les contrôles d'accès autorisés. L'accent mis sur la logique au niveau du grand livre distingue ce programme des primes de bogues typiques des contrats intelligents qui se concentrent sur Solidity ou les problèmes de la Ethereum Virtual Machine.
Ripple a discuté de cette architecture tout au long de septembre, positionnant les normes de prêt et de coffre comme une infrastructure centrale pour les marchés de crédit institutionnel. La conception évite les actifs emballés et les contrats tiers, ce qui signifie que les chercheurs en sécurité doivent rechercher des failles dans la mise en œuvre du protocole de base plutôt que des vulnérabilités au niveau du contrat communes à d'autres plates-formes blockchain.
Comprendre les termes clés
Le XRP Ledger fonctionne comme un réseau de paiement décentralisé qui traite les transactions par le biais d'un protocole de consensus plutôt que par la preuve de travail minière. Contrairement aux blockchains qui font fonctionner des contrats intelligents dans des machines virtuelles, le XRPL implémente de nouvelles fonctionnalités par le biais d'amendements au protocole de base, nécessitant l'approbation des validateurs avant l'activation.
Cette différence architecturale signifie que de nouvelles fonctionnalités telles que les protocoles de prêt doivent être intégrées dans le code C++ du grand livre plutôt que déployées en tant que code de contrat séparé.
Le prêt non garanti, une caractéristique centrale du protocole proposé, permet aux emprunteurs d'obtenir du crédit sans déposer d'actifs en tant que garantie. Cette approche nécessite des mécanismes robustes de vérification d'identité et d'évaluation du crédit, que la norme d'identifiants XLS-70 vise à fournir. Les prêts à terme fixe fonctionnent selon des calendriers prédéterminés avec des dates de remboursement définies, contrastant avec les arrangements variables, perpétuels, courants dans les applications de finance décentralisée.
Le terme "Attackathon" combine "attaque" et "marathon", décrivant un audit de sécurité intensif et limité dans le temps où les chercheurs concourent pour trouver des vulnérabilités. Les programmes de primes de bogues fonctionnent généralement indéfiniment avec des récompenses proportionnelles à la gravité des vulnérabilités, tandis que les Attackathons compressent la période de test et offrent des prix groupés pour créer de l'urgence. Immunefi est spécialisé dans ces compétitions pour les projets blockchain, ayant conduit des programmes similaires pour d'autres protocoles avant leur lancement.
RLUSD, le stablecoin de Ripple qui sera utilisé pour les paiements de compétition, maintient une parité un-à-un avec le dollar américain grâce à un soutien de réserve.
Réflexions finales
Le programme de sécurité représente un changement vers des tests adverses avant le déploiement de production, en particulier pour les architectures blockchain non Ethereum où les vulnérabilités typiques des contrats intelligents peuvent ne pas s'appliquer. À la date de mise sous presse, le XRP s'échangeait à 2,46 $, avec la date de lancement éventuelle du protocole de prêt non encore annoncée, en attente du résultat du concours de sécurité.