Deux dates d’octobre 2026 racontent la m\u00eame histoire par les deux bouts. Le 12 octobre, l’enqu\u00eateur on-chain ZachXBT a qualifi\u00e9 de \u00ab cheap \u00bb la prime de 250 000 dollars (environ 223 000 euros) offerte par Ripple au chercheur qui avait d\u00e9couvert, sur le XRP Ledger, une faille capable de fabriquer plus de 180 fois l’offre totale du jeton. Quatre jours plus tard, le 16 octobre, Firedancer, le client validateur de Solana d\u00e9velopp\u00e9 par Jump Crypto, ouvrait son bug bounty en doublant les r\u00e9compenses sur tout rapport valide et en les triplant sur les failles li\u00e9es \u00e0 Alpenglow, la refonte de son consensus. D’un c\u00f4t\u00e9, une cha\u00eene accus\u00e9e de sous-payer une faille existentielle. De l’autre, une cha\u00eene qui surpaie pour attirer les chasseurs. Entre les deux, une v\u00e9rit\u00e9 que l’industrie conna\u00eet sans toujours la formuler : hors de l’\u00e9cosyst\u00e8me Ethereum, les bugs ne se paient pas sur la m\u00eame grille.<\/p>
Le march\u00e9 des primes de s\u00e9curit\u00e9 s’est construit, image apr\u00e8s image, autour d’Ethereum. Les records qui circulent (Wormhole et ses 10 millions de dollars, les plafonds \u00e0 15 ou 16 millions de certaines plateformes) sont n\u00e9s dans l’univers de la machine virtuelle Ethereum, l’EVM, et de son langage Solidity. Mais une part grandissante de la valeur on-chain vit d\u00e9sormais ailleurs : sur Solana et son mod\u00e8le de comptes, sur les cha\u00eenes Move comme Sui et Aptos, sur des r\u00e9seaux applicatifs comme le XRP Ledger. Ces environnements ont leurs propres classes de bugs, leurs propres chasseurs, leurs propres plafonds et, surtout, leurs propres mani\u00e8res de r\u00e9cup\u00e9rer des fonds quand la pr\u00e9vention a \u00e9chou\u00e9.<\/p>
Les deux \u00e9pisodes d’octobre encadrent le sujet. La controverse XRP montre ce qui se passe quand le plafond affich\u00e9 para\u00eet d\u00e9risoire au regard du risque \u00e9vit\u00e9. Le lancement de Firedancer montre l’inverse : un acteur qui empile les multiplicateurs pour que ses chercheurs n’aient aucune raison d’aller voir ailleurs. Entre ces deux extr\u00eames se loge toute la question de ce chapitre : combien vaut une faille quand on sort du terrain balis\u00e9 de l’EVM, et pourquoi le prix change-t-il autant d’une cha\u00eene \u00e0 l’autre ?<\/p>
Le 9 octobre, les d\u00e9veloppeurs du XRP Ledger ont divulgu\u00e9 une vuln\u00e9rabilit\u00e9 critique rest\u00e9e tapie dans le code depuis 2015. Il s’agissait d’un d\u00e9passement d’entier (integer overflow) dans le moteur de paiement charg\u00e9 de traiter les offres du carnet d’ordres d\u00e9centralis\u00e9 : une transaction unique, soigneusement construite, aurait pu cr\u00e9er de la monnaie d\u00e9pensable au-del\u00e0 du plafond historique de 100 milliards de jetons. L’estimation donne le vertige : environ 18 000 milliards de XRP, soit pr\u00e8s de 184 fois l’offre totale, auraient pu sortir du n\u00e9ant en un seul bloc valid\u00e9, selon le compte rendu de FinanceFeeds<\/a>. Les \u00e9quipes affirment n’avoir trouv\u00e9 aucune trace d’exploitation sur un r\u00e9seau public.<\/p> D\u00e9tail marquant de l’ann\u00e9e 2026 : la faille n’a pas \u00e9t\u00e9 trouv\u00e9e par un humain scrutant le code ligne \u00e0 ligne, mais par un syst\u00e8me de test automatis\u00e9. Le chercheur Cayden Liao et l’outil Veria AI ont signal\u00e9 le probl\u00e8me en priv\u00e9 le 21 septembre, d\u00e9velopp\u00e9 une preuve de concept le lendemain, et Ripple a publi\u00e9 un correctif d’urgence, la version 3.4.1, d\u00e8s le 25 septembre, d’apr\u00e8s crypto.news<\/a>. Une faille de type mint infini corrig\u00e9e en quatre jours : sur le papier, un cas d’\u00e9cole de divulgation responsable. C’est le montant de la r\u00e9compense qui a mis le feu aux poudres. Ce m\u00eame sc\u00e9nario de cr\u00e9ation de jetons sans autorisation a d\u00e9j\u00e0 valu, ailleurs, les primes les plus \u00e9lev\u00e9es du secteur, comme le rappelait notre analyse du hack de pont et du mint infini de THEO<\/a>.<\/p> ZachXBT, l’un des enqu\u00eateurs les plus suivis de l’\u00e9cosyst\u00e8me, n’a pas m\u00e2ch\u00e9 ses mots. Payer \u00ab cheap \u00bb un whitehat 250 000 dollars pour un bug critique de mint infini de XRP quand la tr\u00e9sorerie de l’entreprise se compte en milliards, a-t-il lanc\u00e9 le 12 octobre, rel\u00e8ve de l’absurde ; selon lui, la d\u00e9couverte de Cayden Liao et de Veria Labs devrait valoir \u00ab au minimum un paiement \u00e0 sept chiffres \u00bb, rapporte Yahoo Finance<\/a>. Son avertissement d\u00e9passe le cas Ripple : une r\u00e9mun\u00e9ration jug\u00e9e d\u00e9risoire d\u00e9courage les divulgations futures et pousse, \u00e0 la marge, certains chercheurs \u00e0 basculer du c\u00f4t\u00e9 obscur plut\u00f4t qu’\u00e0 envoyer un simple courriel.<\/p> La comparaison cit\u00e9e par la presse rend le contraste brutal. Face au plafond de 250 000 dollars du XRP Ledger, les chiffres rapport\u00e9s par The Crypto Times<\/a> rappellent que d’autres programmes affichent des plafonds bien sup\u00e9rieurs, jusqu’\u00e0 2 millions de dollars chez LayerZero et 10 millions chez Wormhole pour une faille critique. Pour une m\u00eame classe de bug, la grille tarifaire varie d’un facteur quarante.<\/p> Une prime de s\u00e9curit\u00e9 n’est pas un prix catalogue : c’est une fonction du risque \u00e9vit\u00e9. La plupart des grands programmes appliquent un principe dit de \u00ab primaut\u00e9 de l’impact \u00bb et une r\u00e8gle de pouce qui fixe la r\u00e9compense critique \u00e0 environ 10 % des fonds qu’un attaquant aurait pu emporter, dans la limite d’un plafond. M\u00e9caniquement, une cha\u00eene qui s\u00e9curise des dizaines de milliards de dollars peut justifier un plafond \u00e0 huit chiffres, tandis qu’un protocole plus modeste s’arr\u00eate \u00e0 cinq ou six. Le plafond devient alors un signal autant qu’une promesse : il dit aux meilleurs chercheurs combien l’\u00e9quipe estime son propre risque.<\/p> C’est ici que l’univers non-EVM diverge. La valeur s\u00e9curis\u00e9e y est r\u00e9elle mais plus concentr\u00e9e, les tr\u00e9soreries de fondation remplacent souvent les tr\u00e9soreries de protocole, et une partie des r\u00e9compenses est vers\u00e9e dans le jeton natif, parfois bloqu\u00e9 plusieurs mois. R\u00e9sultat : les plafonds non-EVM sont solides au niveau des ponts et des couches de base, mais restent en retrait sur beaucoup d’applications. Le tableau ci-dessous compare les plafonds affich\u00e9s (et non les sommes r\u00e9ellement vers\u00e9es) de quelques programmes repr\u00e9sentatifs, d’apr\u00e8s le classement 2026 de Sherlock<\/a> et les pages officielles des programmes.<\/p>Pourquoi la m\u00eame faille n’a pas le m\u00eame prix selon la cha\u00eene<\/h2>