Transferts confidentiels XRP : ce que changent les MPT de Ripple

Ripple a déployé la confidentialité à divulgation nulle de connaissance pour les actifs tokenisés sur le XRP Ledger. La fonctionnalité chiffre les soldes et les montants de transfert tout en gardant les comptes visibles, une conception qui la distingue de toutes les crypto-monnaies de confidentialité sur le marché et soulève une question à laquelle les régulateurs n'ont pas encore répondu.

Ripple a passé la majeure partie de 2026 à construire une infrastructure que les grandes institutions financières sont prêtes à utiliser. JPMorgan a réglé un rachat de bons du Trésor tokenisés sur le XRP Ledger en moins de cinq secondes. Deutsche Bank a approfondi son intégration avec Ripple Payments. SBI a lancé RLUSD, le stablecoin adossé au dollar de Ripple, au Japon après avoir obtenu l'approbation réglementaire. Le stablecoin lui-même a atteint une capitalisation boursière de 1,6 milliard de dollars, devenant ainsi le troisième stablecoin réglementé en dollars aux États-Unis.

Aucune de ces étapes n'a résolu un problème que les trésoriers institutionnels et les responsables de la conformité ne cessent de soulever : chaque solde de jeton et chaque montant de transfert sur le XRP Ledger est visible par quiconque dispose d'un explorateur de blocs. Pour une banque qui déplace 50 millions de dollars en obligations tokenisées, cette transparence n'est pas un avantage. C'est un handicap concurrentiel.

La version 3.3.0 du XRP Ledger est la réponse de Ripple. Elle inclut cinq amendements dans un seul paquet, mais celui qui compte le plus pour l'adoption institutionnelle est Confidential MPT, une couche cryptographique qui chiffre les soldes de jetons et les tailles de transfert tout en préservant la nature publique et vérifiable du registre lui-même. Ce qui rend cette conception inhabituelle, ce n'est pas seulement la confidentialité qu'elle offre, mais la confidentialité qu'elle retient délibérément.

Ce que fait réellement Confidential MPT

L'amendement Confidential MPT, spécifié formellement comme XLS-0096, remplace les soldes en clair des Multi-Purpose Tokens par compte par des textes chiffrés EC-ElGamal. Lorsqu'un utilisateur envoie des jetons, le montant du transfert est chiffré sur la chaîne, et les soldes de l'expéditeur et du destinataire sont mis à jour sous forme de valeurs chiffrées qui ne peuvent pas être lues par des tiers analysant le registre.

Les validateurs n'ont pas besoin de déchiffrer quoi que ce soit pour confirmer qu'une transaction est valide. Au lieu de cela, le protocole repose sur un système de preuve à divulgation nulle de connaissance en couches. Chaque transfert confidentiel inclut une preuve sigma compacte liant tous les textes chiffrés ElGamal sous un défi Fiat-Shamir unique, une paire d'engagements de Pedersen qui encodent le montant du transfert et le solde restant, et une preuve de plage Bulletproof agrégée confirmant qu'aucun solde n'est devenu négatif et que l'offre totale reste intacte.

La charge cryptographique n'est pas triviale. Un document de recherche de Ripple rédigé par Murat Cenk, Aanchal Malhotra et Joseph Ayo Akinyele, publié via l'Association internationale pour la recherche cryptologique (IACR) en 2026, détaille les fondements mathématiques. Le système inclut une preuve de liaison qui lie le texte chiffré ElGamal utilisé pour le transfert à l'engagement de Pedersen utilisé pour la preuve de plage, empêchant une classe d'attaques où un expéditeur malveillant pourrait soumettre des preuves valides pour un montant différent de celui réellement transféré.

Le système de preuve est conçu pour empêcher deux vecteurs d'attaque spécifiques qui affligent les schémas de transactions confidentielles plus simples. Premièrement, sans la preuve de liaison, un expéditeur pourrait générer une preuve de plage valide pour un montant tandis que le texte chiffré ElGamal chiffre en réalité un montant différent, créant ainsi des jetons à partir de rien. Deuxièmement, le protocole exige une preuve de connaissance lors de l'enregistrement du compte pour empêcher les attaques par clé malveillante, où une partie malveillante enregistre une clé publique dérivée de la clé d'un autre utilisateur pour manipuler des textes chiffrés agrégés.

Les validateurs traitent ces preuves sans rien apprendre sur les valeurs sous-jacentes. Le coût de vérification est logarithmique par rapport à la taille de la plage grâce à Bulletproofs, ce qui maintient l'efficacité de la validation des transactions même lorsque la charge utile de la preuve augmente. Selon l'article IACR, une seule preuve de transfert confidentiel ajoute environ 1,5 kilo-octets à la transaction, un surcoût gérable pour un registre qui gère déjà des milliers de transactions par seconde.

De manière cruciale, l'amendement est facultatif au niveau de l'émetteur. Un émetteur de jeton créant un nouveau MPT peut choisir si les soldes et les transferts doivent être confidentiels. Les émetteurs qui optent pour cette option conservent la capacité de désigner des parties autorisées, telles que des auditeurs, des régulateurs ou des responsables de conformité, qui peuvent déchiffrer et vérifier les montants sous-jacents. Les contrôles de gel et de récupération, les mêmes mécanismes que les émetteurs utilisent déjà pour les MPT standard, restent pleinement fonctionnels.

Ce qui reste visible est tout aussi important. Les adresses de l'expéditeur et du destinataire sont publiques. Le type de jeton transféré est public. Le fait qu'une transaction ait eu lieu est public. Seuls le montant et les soldes résultants sont cachés.

En quoi cela diffère de Monero et Zcash

La comparaison avec les pièces de confidentialité est inévitable, mais l'architecture est fondamentalement différente d'une manière qui importe à la fois pour les régulateurs et les utilisateurs.

Monero traite la confidentialité comme une valeur par défaut qui ne peut pas être désactivée. Chaque transaction cache l'expéditeur, le destinataire et le montant en utilisant des signatures en anneau, des adresses furtives et RingCT. Après la mise à niveau FCMP++ au début de 2026, tracer une transaction Monero nécessite d'analyser l'ensemble des sorties non dépensées, plus de 1,8 million de sorties, ce qui la rend informatiquement infaisable. Aucune entreprise d'analyse de blockchain n'a publiquement montré un traçage fiable de XMR à grande échelle depuis cette mise à niveau.

Zcash offre la confidentialité comme une option via les zk-SNARK, mais l'adoption a été inégale. L'utilisation des transactions protégées a atteint un sommet historique de 59,3 % en février 2026, ce qui signifie qu'environ 40 % des transactions ZEC restent entièrement transparentes. Le réseau cache l'expéditeur, le destinataire et le montant dans les transferts protégés vers protégés, mais la nature facultative crée un problème de fuite de métadonnées : le fait de choisir la confidentialité peut lui-même être informatif.

Le MPT confidentiel du XRPL occupe une troisième catégorie entièrement. La confidentialité n'est ni obligatoire ni choisie par l'utilisateur. Elle est contrôlée par l'émetteur. Le créateur du jeton décide à l'émission si les soldes sont chiffrés, et cette décision s'applique uniformément à tous les détenteurs de ce jeton. Les utilisateurs individuels ne peuvent pas choisir d'y adhérer ou de s'en retirer. Cela signifie que le modèle de confidentialité est déterminé par l'entité ayant l'obligation de conformité, et non par l'entité ayant la préférence de confidentialité.

La portée de la dissimulation est également plus étroite. Monero et Zcash cachent qui transige. Le MPT confidentiel ne le fait pas. Les adresses de compte restent visibles sur chaque transaction, préservant la capacité de cartographier les flux de transactions même lorsque les montants sont cachés. Pour une entreprise d'analyse ou un régulateur, c'est une distinction significative : ils peuvent voir que le compte A a envoyé des jetons au compte B, ils ne peuvent simplement pas voir combien.

Frais sponsorisés et le problème d'intégration des entreprises

L'amendement MPT confidentiel fait les gros titres, mais l'amendement Sponsor (XLS-68) pourrait avoir un impact plus immédiat sur l'adoption. Il aborde un point de friction qui a bloqué le déploiement en entreprise sur chaque blockchain basée sur des comptes : l'exigence que les utilisateurs finaux détiennent le jeton natif avant de pouvoir faire quoi que ce soit.

Sur le registre XRP actuel, chaque compte doit détenir une réserve minimale de XRP et payer les frais de transaction en XRP. Pour une banque intégrant des milliers de clients à un fonds monétaire tokenisé, cela signifie soit distribuer du XRP à chaque participant, soit construire une couche de garde qui abstrait cette exigence. Les deux approches ajoutent des coûts, de la complexité et une surface réglementaire.

L'amendement du sponsor permet à un tiers, qu'il s'agisse d'une banque, d'un émetteur ou d'un opérateur de plateforme, de couvrir les frais de transaction et les exigences de réserve au nom de ses utilisateurs. Les sponsors peuvent co-signer des transactions individuelles ou préfinancer un pool de parrainage qui couvre les coûts automatiquement. Les utilisateurs conservent le contrôle total de leurs comptes et de leurs clés privées tout au long du processus.

La conception est simple. Un sponsor inclut une signature dans la transaction de l'utilisateur indiquant sa volonté de payer. Le réseau facture les frais sur le compte du sponsor et, si la transaction crée de nouveaux objets en chaîne, applique l'exigence de réserve au solde du sponsor. Les utilisateurs peuvent effectuer des transactions avec zéro XRP dans leurs portefeuilles.

Pour la tokenisation institutionnelle, cela change considérablement le calcul du déploiement. Un administrateur de fonds émettant des actions tokenisées sur le XRP Ledger peut désormais garantir que les investisseurs n'ont jamais besoin d'interagir avec une bourse de cryptomonnaies, n'ont jamais besoin d'acquérir des XRP et n'ont jamais besoin de comprendre les mécanismes de gaz. Toute la couche de frais devient invisible, gérée par l'émetteur comme un coût de fonctionnement, de la même manière que les courtiers traditionnels absorbent les coûts de règlement.

Combiné avec le MPT confidentiel, le tableau devient plus clair. Une institution peut émettre un jeton où les soldes sont cryptés, les transferts sont privés et les utilisateurs ne touchent jamais au XRP. Le registre gère le règlement, la cryptographie gère la confidentialité et le sponsor gère les frais.

Cette combinaison répond à une plainte qui a résonné dans chaque projet pilote de blockchain institutionnel depuis 2017 : les chaînes publiques exposent trop, et les chaînes privées sacrifient l'interopérabilité. L'approche XRPL trouve le juste équilibre en maintenant la chaîne publique et sans permission tout en rendant certaines classes d'actifs opaques à la discrétion de l'émetteur. Il reste à voir si ce modèle hybride satisfait les équipes de conformité de sociétés comme BlackRock et BNY Mellon, qui travaillent déjà toutes deux avec Ripple via des partenariats RLUSD.

Transactions par lots et règlement atomique

L'amendement BatchV1_1 complète la boîte à outils institutionnelle en permettant d'exécuter atomiquement jusqu'à huit transactions sur différents comptes dans une seule clôture de registre. Chaque transaction du lot réussit ou le groupe entier échoue.

Il s'agit d'une version corrigée d'une implémentation Batch antérieure qui a été désactivée après que l'audit de sécurité Sherlock a trouvé 96 vulnérabilités dans les cinq amendements proposés. Le code Batch original contenait un défaut critique de validation de signature qui aurait pu permettre à des attaquants d'exécuter des transactions depuis n'importe quel compte sans détenir sa clé privée. La version réécrite, désignée V1_1, corrige ce problème et d'autres identifiés lors du concours de sécurité communautaire de 550 000 $.

Le traitement par lots atomique est important pour la finance réglementée car il permet le delivery-versus-payment, l'échange simultané d'un titre contre de l'argent qui réduit le risque de contrepartie. Sur les rails traditionnels, cette coordination nécessite des intermédiaires, des chambres de compensation et des fenêtres de règlement mesurées en jours. Sur un registre avec des lots atomiques, l'échange se produit en une seule opération : le paiement de l'acheteur et la livraison du vendeur soit se complètent tous les deux, soit aucun ne se complète.

Les 530 millions de dollars déjà sur le registre

Ces amendements ne sont pas construits pour un avenir hypothétique. Le XRP Ledger héberge déjà environ 1,38 milliard de dollars d'actifs réels tokenisés. En excluant la contribution de 845,7 millions de dollars de RLUSD, plus de 530 millions de dollars d'autres actifs tokenisés se trouvent sur le registre aujourd'hui, émis par des sociétés qui ont un intérêt commercial direct dans la confidentialité des soldes.

Ondo Finance est en tête avec 212,6 millions de dollars de produits tokenisés, suivi de VERT Capital avec 116,1 millions de dollars et Archax avec 55,4 millions de dollars. Ce ne sont pas des déploiements expérimentaux. Ondo est l'un des plus grands émetteurs de bons du Trésor tokenisés de l'industrie. Archax est une bourse d'actifs numériques réglementée par la FCA basée à Londres. Leur présence sur le XRP Ledger représente un capital réel avec des exigences de conformité réelles.

Pour ces émetteurs, la transparence actuelle des soldes MPT crée un problème qui s'aggrave avec l'échelle. Lorsqu'un seul fonds détient 200 millions de dollars en bons du Trésor tokenisés, chaque souscription, rachat et rééquilibrage est visible par les concurrents, les traders opportunistes et le public. La MPT confidentielle donne aux émetteurs la possibilité de chiffrer ces mouvements tout en conservant la capacité de partager des données déchiffrées avec des auditeurs autorisés.

La version 1 de l'amendement ne prend en charge que les paiements MPT directs entre comptes. Les transactions sur échanges décentralisés, les arrangements de dépôt sous séquestre et les canaux de paiement sont exclus du champ initial. Cela signifie que la confidentialité, pour l'instant, s'applique aux transferts bilatéraux, et non aux échanges en chaîne.

La question réglementaire : la confidentialité aide-t-elle ou nuit-elle ?

Ripple a construit l'un des partenariats institutionnels les plus solides de l'industrie, notamment avec JPMorgan, Deutsche Bank et SBI. La société détient une autorisation MiCA complète via la CSSF du Luxembourg, ouvrant un accès réglementé dans les 30 pays de l'Espace économique européen. Aux États-Unis, Ripple a reçu une approbation conditionnelle de l'OCC pour une banque nationale de fiducie en décembre 2025 et a demandé un compte principal auprès de la Réserve fédérale.

Ajouter des fonctionnalités de confidentialité à un registre aussi intégré au système financier réglementé est une décision calculée. Le calendrier coïncide avec deux évolutions réglementaires qui tirent dans des directions opposées.

La Digital Asset Market Clarity Act, qui classerait XRP comme une marchandise numérique sous la juridiction de la CFTC, est prévue pour un vote de procédure au Sénat le 15 septembre 2026, après des retards causés par des désaccords partisans sur les règles d'éthique. Une classification conjointe SEC-CFTC de mars 2026 a déjà nommé XRP parmi 16 actifs classés comme marchandises numériques, mais la codification législative fournirait une certitude juridique plus forte. La Clarity Act ne traite pas spécifiquement des fonctionnalités de confidentialité sur les registres classés comme marchandises, laissant une lacune d'interprétation.

En Europe, la licence MiCA de Ripple ne couvre pas explicitement les jetons à confidentialité renforcée. Les exigences de la règle de voyage de MiCA imposent que les informations de transfert, y compris l'expéditeur, le destinataire et le montant, accompagnent les transactions d'actifs cryptographiques au-dessus de certains seuils. La conception de la MPT confidentielle, où les montants sont chiffrés mais les parties désignées par l'émetteur peuvent les déchiffrer, peut satisfaire à cette exigence si l'émetteur accorde l'accès à l'unité de renseignement financier concernée. Mais cette interprétation n'a pas été testée.

Le règlement de l'Union européenne sur la lutte contre le blanchiment d'argent (AMLR) ajoute une autre couche. Le règlement, qui doit restreindre les pièces de confidentialité sur les échanges agréés d'ici juillet 2027, cible les actifs pour lesquels les informations sur l'expéditeur, le destinataire ou le montant ne peuvent pas être obtenues par les autorités. Le modèle de divulgation contrôlée par l'émetteur de XRPL pourrait ne pas entrer dans cette définition, car les parties autorisées peuvent toujours accéder aux données sous-jacentes, mais le texte réglementaire n'a pas été appliqué aux jetons confidentiels contrôlés par l'émetteur.

Un rapport du Trésor américain de mars 2026 a explicitement soutenu les cas d'utilisation légitimes de la confidentialité dans la blockchain, reconnaissant que la confidentialité commerciale et la confidentialité financière sont des objectifs valides. Ce rapport est fréquemment cité par l'équipe réglementaire de Ripple comme preuve que les fonctionnalités de confidentialité, lorsqu'elles sont conçues avec des contrôles de conformité, ne sont pas intrinsèquement suspectes.

Le cas opposé : pourquoi la MPT confidentielle pourrait ne pas avoir d'importance

L'argument le plus fort contre l'importance de la MPT confidentielle est l'adoption. La fonctionnalité est facultative au niveau de l'émetteur, et les émetteurs ne subissent aucune pénalité pour l'ignorer. Si Ondo Finance, VERT Capital et Archax choisissent de ne pas activer le chiffrement sur leurs jetons existants, l'amendement devient du code mort sur le registre.

Il y a des raisons pour lesquelles ils pourraient hésiter. Les soldes chiffrés ajoutent une surcharge de calcul à chaque transaction, augmentant la charge de génération de preuves sur les clients émetteurs. Les équipes de conformité des émetteurs réglementés peuvent préférer la simplicité des soldes transparents, où les auditeurs peuvent vérifier les avoirs en scannant le registre, plutôt qu'un système qui nécessite une gestion des clés et des flux de travail de déchiffrement autorisés.

La confidentialité offerte par cet amendement est également partielle. Les adresses des comptes restent visibles, ce qui signifie que les graphes de transactions, les schémas de qui transige avec qui, sont entièrement exposés. Pour les sociétés d'analyse sophistiquées, les transactions à montants cachés mais à graphes visibles peuvent encore révéler des informations significatives grâce à l'analyse de fréquence, à la corrélation temporelle et au mappage d'adresses connues. Un concurrent surveillant l'activité on-chain d'un émetteur pourrait déduire des volumes approximatifs à partir du seul nombre de transactions.

La limitation de portée de la version 1, excluant les échanges DEX, l'entiercement et les canaux de paiement, réduit encore l'utilité pratique. Les flux de travail institutionnels impliquant des transactions sur le marché secondaire devraient recourir au mode transparent pour toute activité d'échange on-chain, créant un système de visibilité à deux niveaux qui pourrait dérouter plus qu'il ne dissimule.

Il y a aussi un angle concurrentiel. Ethereum, Polygon et Avalanche offrent tous des solutions de transactions confidentielles via des protocoles tiers comme Railgun et Aztec. Ces solutions opèrent au niveau de la couche applicative, ce qui signifie que tout jeton sur ces réseaux peut être acheminé via un pool de confidentialité sans permission de l'émetteur. Pour les institutions qui souhaitent une confidentialité conforme, cette approche sans permission est un inconvénient. Mais pour les institutions qui veulent simplement déplacer des actifs sans diffuser leurs positions, la confidentialité au niveau applicatif sur une chaîne plus liquide peut suffire, et elle ne nécessite pas d'attendre un vote des validateurs.

Les critères d'invalidation pour le scénario haussier sont clairs. Si moins de trois des dix principaux émetteurs d'actifs XRPL activent le MPT confidentiel dans les six mois suivant l'activation, la fonctionnalité a échoué à son test de marché. Si les validateurs rejettent carrément l'amendement, n'atteignant pas 80 % de soutien, la thèse de confidentialité pour XRPL est mise de côté indéfiniment. Et si les autorités de contrôle de MiCA statuent que le chiffrement contrôlé par l'émetteur ne satisfait pas aux exigences de la règle de voyage, les émetteurs européens, le segment à la croissance la plus rapide du marché RWA de XRPL, ne peuvent pas utiliser la fonctionnalité du tout.

Ce que les comptes actifs et la demande de XRP nous disent

Le contexte plus large de ces amendements est un registre à la recherche d'une activité renouvelée. Les comptes XRPL actifs ont chuté de 51 % en 2026, passant de 15 571 le 1er janvier à 7 630 le 20 juillet. Le XRP se négocie près de 1,00 $, en baisse de plus de 65 % par rapport à son sommet de janvier de 3,40 $. Les entrées nettes hebdomadaires dans les ETF XRP au comptant aux États-Unis se sont effondrées de 93 % au cours de la semaine se terminant le 8 août, passant de 14,86 millions de dollars à seulement 1,01 million de dollars.

Ripple continue de libérer 1 milliard de XRP de l'entiercement chaque mois, en ré-entierçant 600 à 800 millions et en permettant à 200 à 400 millions de XRP d'entrer en circulation. Ce calendrier d'approvisionnement signifie que l'entiercement libère des jetons deux à quatre fois plus rapidement que l'ensemble du complexe ETF ne les absorbe.

L'amendement Sponsor a un impact direct sur cette dynamique. En supprimant l'exigence pour les utilisateurs finaux de détenir du XRP, il réduit potentiellement la demande organique pour le jeton. Les utilisateurs de comptes sponsorisés interagissent avec le registre sans jamais acquérir de XRP. Les frais de réseau sont toujours payés en XRP, mais ils proviennent des avoirs du sponsor, concentrant la demande parmi un ensemble plus restreint de sponsors institutionnels.

Pour le XRP en tant qu'actif d'investissement, la combinaison de fonctionnalités de confidentialité et de frais sponsorisés crée un paradoxe. Les amendements rendent le registre plus utile pour les institutions mais ne rendent pas nécessairement le XRP plus précieux. L'activité institutionnelle se règle via RLUSD, pas via XRP. Les frais sont payés par les sponsors, pas par les détenteurs de détail. Et les fonctionnalités de confidentialité s'appliquent aux MPT, pas au XRP lui-même, qui reste entièrement transparent.

Le chemin le plus direct vers la reprise du prix du XRP, comme l'a noté la propre communauté de Ripple, serait d'exiger que les transactions RLUSD se règlent via XRP en tant qu'actif de pont. Aucune telle exigence n'existe dans le protocole actuel.

Ce qu'il faut surveiller

– Seuil de vote des validateurs : l'amendement MPT confidentiel nécessite 80 % de soutien des validateurs de confiance, maintenu pendant deux semaines consécutives, avant l'activation. Suivez le décompte des votes de l'amendement sur xrpl.org une fois la fenêtre de deux semaines ouverte.

– Taux d'adoption par les émetteurs : si Ondo Finance, VERT Capital et Archax activent les soldes chiffrés sur les émissions de jetons existantes ou nouvelles au cours du premier trimestre suivant l'activation, cela signale une demande réelle pour la confidentialité on-chain.

– Directives d'application de MiCA : l'interprétation de l'Autorité bancaire européenne quant à savoir si les montants chiffrés contrôlés par l'émetteur satisfont aux obligations de la règle de voyage déterminera si les émetteurs européens peuvent utiliser le MPT confidentiel.

– Vote en séance plénière sur la loi Clarity : le vote procédural au Sénat prévu pour le 15 septembre 2026 codifiera soit la classification du XRP en tant que marchandise, soit laissera son statut réglementaire dépendre des orientations du pouvoir exécutif qui pourraient changer avec les administrations.

– Adoption de comptes sponsorisés : le nombre de comptes fonctionnant sous parrainage de frais par un tiers indiquera si l'amendement Sponsor réussit à abaisser les barrières à l'entrée pour les déploiements institutionnels.