Le XRP Ledger prépare une évolution qui pourrait profondément modifier la façon dont les actifs tokenisés y circulent : permettre aux institutions de masquer les montants et les soldes sans cacher l’identité des comptes impliqués.
Cette approche est portée par l’amendement Confidential MPT, ou XLS-0096, intégré à la version 3.3.0 publiée le 6 août 2026.
Le changement n’est cependant pas encore actif.
Comme les autres amendements du réseau, il doit obtenir au moins 80 % de soutien des validateurs de confiance pendant deux semaines consécutives avant d’être appliqué sur le mainnet.
Le problème visé est davantage commercial que spéculatif
La confidentialité proposée ne semble pas avoir été conçue principalement pour les utilisateurs particuliers.
Elle répond surtout aux besoins d’émetteurs d’actifs tokenisés.
Lorsqu’un fonds, une banque ou une société transfère une position importante sur une blockchain publique, le montant exact peut être visible immédiatement.
Pour une institution gérant plusieurs dizaines de millions de dollars, cette transparence peut révéler des informations sensibles sur ses opérations.
Le XRP Ledger cherche donc à préserver la visibilité du réseau tout en limitant l’exposition des données financières.
Les contreparties restent identifiables
Le système ne rend pas une transaction invisible.
L’adresse de l’expéditeur reste publique.
L’adresse du destinataire reste publique.
Le type de token transféré reste également visible.
Le réseau enregistre toujours qu’un échange a eu lieu.
Seuls le montant transféré et les nouveaux soldes sont chiffrés.
Cette différence est fondamentale pour comprendre le positionnement du projet.
Le modèle vise une confidentialité compatible avec l’audit
Les émetteurs peuvent désigner certaines parties autorisées à consulter les informations chiffrées.
Il peut s’agir d’auditeurs, d’autorités ou d’équipes de conformité.
Le réseau tente donc de séparer deux catégories d’observateurs.
Le public voit les relations entre comptes.
Les parties autorisées peuvent accéder aux montants réels.
Cette architecture vise à rendre la confidentialité compatible avec des obligations de contrôle.
L’émetteur décide si l’actif sera confidentiel
La fonctionnalité est activée au niveau du token.
Un utilisateur individuel ne peut pas choisir de rendre une transaction privée si le token est transparent.
À l’inverse, il ne peut pas désactiver la confidentialité si l’émetteur a créé le token sous ce régime.
Cette conception évite qu’un même actif mélange transactions visibles et cachées selon les préférences de chaque détenteur.
Elle place la responsabilité directement sur l’émetteur.
Une différence majeure avec Monero
Monero cherche à protéger toutes les dimensions d’une transaction.
L’expéditeur est caché.
Le destinataire est caché.
Le montant est caché.
Cette confidentialité est appliquée par défaut.
Le XRP Ledger adopte une logique presque opposée.
Il veut conserver la traçabilité des comptes tout en masquant uniquement les données financières sensibles.
Pour un régulateur, cette différence peut être importante.
Zcash repose sur un choix de l’utilisateur
Zcash permet d’utiliser des transactions protégées.
Cette confidentialité peut masquer expéditeur, destinataire et montant.
Mais son caractère facultatif signifie que certaines transactions restent totalement transparentes.
Le choix de passer en mode privé peut aussi produire ses propres signaux.
Confidential MPT évite ce mélange en définissant la confidentialité au niveau de l’émission du token.
La protection repose sur plusieurs mécanismes cryptographiques
Sur le plan technique, les soldes ne sont plus enregistrés comme de simples valeurs visibles.
Ils utilisent un chiffrement EC-ElGamal.
Les transferts sont associés à des engagements de Pedersen et à des preuves Bulletproof.
Le protocole ajoute aussi des mécanismes permettant de vérifier qu’un solde ne devient pas négatif et qu’aucune quantité supplémentaire n’est créée artificiellement.
Les validateurs peuvent donc vérifier la transaction sans lire les montants.
Une preuve relie le montant transféré aux contrôles cryptographiques
Une partie importante du design sert à empêcher un utilisateur de prouver un montant tout en en transférant réellement un autre.
Le système relie le ciphertext utilisé pour le transfert à l’engagement utilisé pour la preuve de plage.
Sans cette liaison, il pourrait théoriquement être possible de produire une preuve correcte concernant une valeur différente de celle utilisée dans la transaction.
La conception vise précisément à éliminer ce type d’attaque.
Le réseau protège aussi contre les clés malicieuses
La proposition impose également une preuve de connaissance lors de l’enregistrement d’une clé destinée aux transferts confidentiels.
Cette étape doit empêcher les attaques dites de rogue key.
Un acteur malveillant pourrait autrement créer une clé dérivée de celle d’un autre utilisateur pour tenter de manipuler certaines opérations cryptographiques.
Cette protection fait partie de l’architecture globale.
Le surcoût reste mesuré selon les données présentées
La confidentialité ajoute nécessairement des données aux transactions.
Selon le document cité, une preuve confidentielle représente environ 1,5 kilooctet supplémentaire.
L’utilisation de Bulletproofs vise à maintenir un coût de vérification relativement efficace.
Le défi sera néanmoins de mesurer le comportement réel du système lorsque le nombre de transferts confidentiels augmente.
Les actifs tokenisés existants donnent un cas d’usage concret
Le XRP Ledger héberge déjà environ 1,38 milliard de dollars d’actifs réels tokenisés selon les chiffres fournis.
RLUSD représente environ 845,7 millions de dollars de ce total.
Hors RLUSD, plus de 530 millions de dollars d’autres actifs tokenisés sont déjà présents.
Ondo Finance représente environ 212,6 millions de dollars.
VERT Capital compte approximativement 116,1 millions.
Archax représente environ 55,4 millions.
La confidentialité peut devenir plus importante à mesure que les volumes augmentent
Une petite expérimentation publique peut tolérer une transparence totale.
Un fonds détenant 200 millions de dollars de titres tokenisés rencontre un problème différent.
Chaque souscription ou remboursement peut fournir des informations aux concurrents.
Les mouvements de portefeuille deviennent observables.
Plus la tokenisation atteint des montants élevés, plus cette transparence peut devenir coûteuse sur le plan commercial.
C’est précisément la niche que Confidential MPT cherche à couvrir.
La première version reste volontairement limitée
La confidentialité ne couvrira pas immédiatement tous les usages.
La version initiale concerne principalement les paiements directs de MPT entre comptes.
Les opérations sur les exchanges décentralisés ne sont pas incluses.
Les escrows ne le sont pas non plus.
Les payment channels restent également hors périmètre.
Une partie importante des activités de marché secondaire resterait donc transparente.
Sponsor pourrait transformer davantage l’expérience utilisateur
Le paquet 3.3.0 comprend aussi une proposition appelée Sponsor.
Son objectif est différent.
Elle permettrait à un tiers de payer les frais et les réserves nécessaires pour un utilisateur.
Aujourd’hui, l’utilisation directe du XRP Ledger nécessite généralement de détenir du XRP.
Cette obligation peut devenir un obstacle lorsqu’une banque ou un fonds souhaite intégrer des milliers de clients.
Un investisseur pourrait utiliser XRPL sans acheter de XRP
Avec Sponsor, une institution pourrait prendre en charge ces coûts.
Le client conserverait son compte et ses clés.
Mais les frais pourraient être payés par l’émetteur ou la plateforme.
Cela permettrait à un utilisateur d’interagir avec un produit tokenisé sans passer par une plateforme crypto pour acheter du XRP au préalable.
Pour l’adoption institutionnelle, cette simplification peut être importante.
La combinaison des amendements dessine une infrastructure financière complète
Si Confidential MPT et Sponsor sont activés, un émetteur pourrait proposer un actif dont les montants sont masqués et dont les frais sont totalement absorbés par l’institution.
BatchV1_1 ajoute un autre élément.
Cet amendement permettrait de regrouper jusqu’à huit transactions afin qu’elles réussissent toutes ensemble ou échouent toutes ensemble.
Cette logique correspond bien aux opérations de livraison contre paiement.
La sécurité de Batch a déjà été fortement testée
Une première version de Batch comportait un problème critique de validation de signature.
Selon la source, une compétition de sécurité Sherlock dotée de 550 000 dollars a identifié 96 vulnérabilités sur l’ensemble des cinq amendements.
La faille critique de Batch aurait pu permettre des transactions non autorisées.
La version actuelle, BatchV1_1, a été réécrite pour corriger ces problèmes.
Permission Delegation a également été corrigé
Un autre problème critique concernait Permission Delegation.
La faille pouvait permettre une réduction silencieuse des soldes par répétition de frais.
Cette proposition a elle aussi été corrigée.
Ces découvertes montrent que l’expansion du protocole s’accompagne de risques techniques importants.
Elles montrent aussi que les amendements ont été soumis à une phase de test avant leur éventuelle activation.
Le principal obstacle pourrait être réglementaire
La confidentialité technique ne garantit pas une conformité juridique.
En Europe, les règles de transfert exigent que certaines informations accompagnent les opérations crypto.
Le montant fait partie de ces informations dans plusieurs situations.
Confidential MPT chiffre cette valeur sur le registre public, mais permet à des parties autorisées de la consulter.
Il reste à déterminer si cette méthode sera considérée comme suffisante par les autorités.
Le futur régime européen sur les privacy coins crée une zone grise
Les futures règles européennes anti-blanchiment doivent limiter certains actifs à forte confidentialité sur les plateformes réglementées à partir de juillet 2027.
Le modèle du XRP Ledger pourrait être traité différemment car les autorités désignées peuvent obtenir les montants.
Il ne garantit donc pas une confidentialité inaccessible.
Mais cette distinction juridique n’a pas encore été testée dans la pratique.
L’adoption par les émetteurs reste le véritable test
Même si les validateurs approuvent l’amendement, aucun émetteur n’est obligé de l’utiliser.
C’est probablement le principal risque pour l’utilité réelle de la fonction.
Les entreprises devront décider si les avantages de la confidentialité justifient les coûts supplémentaires de gestion des clés, des permissions et des preuves cryptographiques.
Certaines pourraient préférer conserver une transparence totale.
Les graphes de transactions resteront exploitables
Masquer les montants ne rend pas les flux invisibles.
Les analystes pourront toujours observer quelles adresses interagissent.
La fréquence des transactions restera visible.
Les horaires resteront visibles.
Les comptes déjà identifiés pourront toujours être suivis.
Il sera donc possible d’inférer certaines informations même sans connaître les montants exacts.
La confidentialité ne concerne pas XRP
Un autre point doit être clairement distingué.
Confidential MPT concerne les Multi-Purpose Tokens.
XRP lui-même reste transparent.
L’amélioration du XRP Ledger comme infrastructure institutionnelle ne signifie donc pas automatiquement que XRP bénéficie des mêmes propriétés de confidentialité.
Sponsor crée même un paradoxe pour la demande de XRP
En simplifiant l’accès, Sponsor pourrait réduire le besoin pour les utilisateurs finaux de détenir XRP.
Les frais resteraient payés en XRP.
Mais ils pourraient être centralisés chez les institutions sponsors.
Le réseau pourrait ainsi devenir plus pratique pour les entreprises sans que chaque nouvel utilisateur crée une demande directe pour le token natif.
Conclusion
Confidential MPT représente une tentative de résoudre l’un des principaux conflits de la tokenisation institutionnelle : utiliser un registre public sans exposer tous les détails financiers à l’ensemble du marché.
Le XRP Ledger veut conserver les comptes visibles, masquer les montants et permettre aux parties autorisées de retrouver l’information complète.
Cette approche est renforcée par Sponsor et BatchV1_1, qui cherchent respectivement à simplifier les frais et à permettre des règlements atomiques.
Point clé final
Le succès de Confidential MPT ne dépendra pas uniquement du vote des validateurs. Il dépendra surtout de trois questions : les grands émetteurs accepteront-ils réellement d’utiliser des soldes chiffrés, les régulateurs considéreront-ils l’accès sélectif comme suffisant, et les limites de la première version seront-elles compatibles avec les workflows institutionnels réels ? Si ces conditions sont réunies, le XRP Ledger pourrait proposer un modèle de confidentialité très différent de celui des privacy coins traditionnels.
