Ein Angreifer entwendete am 9. August 2026 nahezu 200.000 XRP – im Wert von etwa 200.000 Dollar – aus einer Blockchain-Bridge, die das XRP Ledger mit dem Coreum (tx)-Netzwerk verbindet. Der Exploit richtete sich gegen eine Software-Schwachstelle, die es ermöglichte, gefälschte Einzahlungsdatensätze durch die Prüfung zu schleusen und rechtmäßige Abhebungen aus der Reserve-Wallet der Bridge auszulösen.

tx bestätigte den Vorfall in einer öffentlichen Erklärung vom 11. August 2026:

Ein Update zum XRPL-Bridge-Vorfall. Am 9. August wurde die tx-XRPL-Bridge angegriffen und XRP aus der Reserve-Wallet der Bridge im XRP Ledger abgezogen. Die Bridge wurde angehalten, die Sicherheitslücke wurde identifiziert, und alle möglichen Maßnahmen werden evaluiert. Dies…

— tx (@txEcosystem) 11. August 2026

Die Bridge verband das XRP Ledger mit Coreum, einer Blockchain, die sich im März 2026 in tx umbenannte und sich auf die Tokenisierung realer Vermögenswerte konzentriert. Blockchain-Bridges – die ansonsten inkompatible Netzwerke verbinden, indem sie Vermögenswerte auf einer Chain sperren und Entsprechungen auf einer anderen ausgeben – gehören zu den am häufigsten angegriffenen Kategorien dezentraler Finanzinfrastruktur. Größere Vorfälle im Zusammenhang mit Bridges wie Wormhole, Nomad und dem Ronin Network haben insgesamt zu Verlusten in Milliardenhöhe geführt, die häufig auf Validierungsfehler und nicht auf kryptografische Brüche zurückzuführen sind.

Funktionsweise des Exploits

Blockchain-Bridges funktionieren wie Tresore mit einem Belegsystem. Nutzer zahlen XRP in eine Reserve-Wallet ein, und die Bridge prägt eine entsprechende Menge an Wrapped Tokens auf der Ziel-Chain. Die Rückgabe dieser Token ermöglicht dem Nutzer, das ursprüngliche XRP abzuheben.

Der Angreifer umging diesen Prozess, indem er Belege erhielt, ohne tatsächlich Einzahlungen vorzunehmen. Die Relayer-Software – zuständig für die Überwachung beider Blockchains und die Autorisierung von Überweisungen – überprüfte, ob eine Zahlung erfolgreich war, und las das beigefügte Memo jeder Transaktion. Sie bestätigte jedoch nicht, dass die Zahlungen tatsächlich an die Bridge-Adresse gerichtet waren.

Der Angreifer nutzte diese Lücke aus, indem er Wallet-zu-Wallet-Überweisungen mit Memos sendete, die so formatiert waren, dass sie Bridge-Einzahlungen imitierten. Die Relayer interpretierten diese Transaktionen als legitim und erfassten sie als echte Einzahlungen. Sobald eine ausreichende Anzahl von Relayern einen Konsens erreichte, schrieb das System Guthaben gut, die nicht durch tatsächliches XRP gedeckt waren. Der Angreifer nutzte dann den normalen Abhebungsprozess, um echtes XRP aus der Reserve der Bridge zu entziehen.

Die Schwachstelle – ein Versäumnis bei der Verifizierung der Zieladresse einer Zahlung – fällt in eine Klasse von Eingabevalidierungsfehlern, die Sicherheitsprüfer in der Bridge-Architektur routinemäßig kennzeichnen, da Relayer mehrere Bedingungen unabhängig voneinander bestätigen müssen, bevor sie Chain-übergreifende Übertragungen autorisieren.

On-Chain-Beweise

Eine On-Chain-Analyse verfolgte 199.916,3 XRP, die das Bridge-Konto über 94 Zahlungen zwischen 19:16 UTC und 20:53 UTC am 9. August verließen – ein Zeitraum von 97 Minuten. Vor dem Angriff hielt die Bridge etwa 200.410 XRP. Nach dem Abfluss verblieben nur noch 493,5 XRP.

Jede ausgehende Zahlung trug 17 von 28 Relayer-Signaturen und erreichte damit die erforderliche Mehrheitsschwwelle. Die Ermittler fanden keine Hinweise darauf, dass die Relayer-Schlüssel kompromittiert wurden.

Blockchain-Analysten wiesen zudem eine frühere Theorie zurück, wonach die „Rippling"-Funktion des XRP Ledger verantwortlich sei. Rippling gilt ausschließlich für ausgegebene Vermögenswerte, die über Trust Lines gehalten werden, während natives XRP keine Trust Lines verwendet. Alle 199.916 XRP verließen die Bridge über von der Bridge signierte Zahlungen, nicht über Rippling. Der Vorfall ging auf eine Schwachstelle in der Bridge-Software zurück, die die beiden Netzwerke verbindet, und nicht auf eine Sicherheitslücke in einer der beiden Blockchains selbst.

Bewegung der gestohlenen Gelder

Nach dem Abfluss wurden die gestohlenen XRP schnell verteilt. Etwa 169.000 XRP wurden in zwei Zwischenwallets überführt, die am 28. Juni erstellt worden waren. Weitere 34.000 XRP wurden auf drei separate Adressen verschoben. Der Angreifer wurde nicht identifiziert.

Reaktion und Status

tx erklärte, dass das Unternehmen den verwundbaren Code identifiziert und behoben, Blockchain-Forensik-Spezialisten hinzugezogen und eine Meldung beim Internet Crime Complaint Center (IC3) des FBI eingereicht habe. Die Bridge bleibt angehalten, während das Team mögliche Maßnahmen evaluiert.

Das Unternehmen hat nicht mitgeteilt, wie betroffene Nutzer entschädigt werden oder wann die Bridge den Betrieb wieder aufnehmen wird. Der Ausgang dieser Entscheidungen wird ein wichtiger Indikator für Nutzer sein, die bewerten, wie die Plattform mit dem Vorfall umgeht und wie sicher die Chain-übergreifende Infrastruktur auf dem XRP Ledger insgesamt ist.