Un attaquant a drainé près de 200 000 XRP — d'une valeur d'environ 200 000 dollars — depuis un pont blockchain reliant le XRP Ledger au réseau Coreum (tx) le 9 août 2026. L'exploit a ciblé une vulnérabilité logicielle qui a permis à des enregistrements de dépôt fabriqués de passer le contrôle et de déclencher des retraits légitimes depuis le portefeuille de réserve du pont.

tx a confirmé l'incident dans une déclaration publique le 11 août 2026 :

An update on the XRPL bridge incident. On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…

— tx (@txEcosystem) August 11, 2026

Le pont reliait le XRP Ledger à Coreum, une blockchain qui s'est rebaptisée tx en mars 2026 et qui se concentre sur la tokenisation d'actifs du monde réel. Les ponts blockchain — qui connectent des réseaux par ailleurs incompatibles en bloquant des actifs sur une chaîne et en émettant des équivalents sur une autre — figurent parmi les catégories d'infrastructure de finance décentralisée les plus fréquemment exploitées. Des incidents majeurs impliquant des ponts tels que Wormhole, Nomad et le Ronin Network ont collectivement entraîné des pertes de milliards de dollars, découlant souvent de failles de validation plutôt que de ruptures cryptographiques.

Comment l'exploit a fonctionné

Les ponts blockchain fonctionnent comme des coffres-forts avec un système de reçus. Les utilisateurs déposent des XRP dans un portefeuille de réserve, et le pont crée une quantité équivalente de jetons enveloppés (wrapped tokens) sur la chaîne de destination. Le retour de ces jetons permet à l'utilisateur de retirer les XRP d'origine.

L'attaquant a contourné ce processus en obtenant des reçus sans effectuer de dépôts réels. Le logiciel relayer — chargé de surveiller les deux blockchains et d'autoriser les transferts — vérifiait si un paiement avait abouti et lisait le mémo joint à chaque transaction. Cependant, il ne confirmait pas que les paiements étaient effectivement dirigés vers l'adresse du pont.

L'attaquant a exploité cette faille en envoyant des transferts de portefeuille à portefeuille avec des mémos formatés pour imiter des dépôts de pont. Les relayers ont interprété ces transactions comme légitimes et les ont enregistrées comme de vrais dépôts. Une fois qu'un nombre suffisant de relayers a atteint un consensus, le système a crédité des soldes qui n'avaient aucune garantie XRP sous-jacente. L'attaquant a ensuite utilisé le processus de retrait standard pour extraire des XRP authentiques de la réserve du pont.

La faille — une non-vérification de l'adresse de destination d'un paiement — relève d'une classe d'erreurs de validation des entrées que les auditeurs de sécurité signalent systématiquement dans l'architecture des ponts, où les relayers doivent confirmer indépendamment plusieurs conditions avant d'autoriser des transferts inter-chaînes.

Preuves sur chaîne

L'analyse on-chain a permis de retracer 199 916,3 XRP quittant le compte du pont via 94 paiements entre 19:16 UTC et 20:53 UTC le 9 août — soit une période de 97 minutes. Avant l'attaque, le pont détenait environ 200 410 XRP. Après le drainage, il ne restait que 493,5 XRP.

Chaque paiement sortant comportait 17 des 28 signatures de relayers, atteignant le seuil de majorité requis. Les enquêteurs n'ont trouvé aucune preuve que les clés des relayers aient été compromises.

Les analystes blockchain ont également écarté une théorie antérieure selon laquelle la fonctionnalité « rippling » du XRP Ledger serait responsable. Le rippling s'applique exclusivement aux actifs émis détenus via des lignes de confiance, tandis que les XRP natifs n'utilisent pas de lignes de confiance. La totalité des 199 916 XRP est sortie via des paiements signés par le pont, et non par le rippling. L'incident provenait d'une faille dans le logiciel du pont connectant les deux réseaux, et non d'une vulnérabilité dans l'une ou l'autre des blockchains elles-mêmes.

Mouvement des fonds volés

Suite au drainage, les XRP volés ont été dispersés rapidement. Environ 169 000 XRP ont été transférés dans deux portefeuilles de transition qui avaient été créés le 28 juin. 34 000 XRP supplémentaires ont été déplacés vers trois autres adresses. L'attaquant n'a pas été identifié.

Réponse et statut

tx a déclaré avoir identifié et corrigé le code vulnérable, engagé des spécialistes en forensique blockchain, et déposé un rapport auprès de l'Internet Crime Complaint Center (IC3) du FBI. Le pont reste suspendu pendant que l'équipe évalue les remèdes potentiels.

L'entreprise n'a pas précisé comment les utilisateurs affectés seront indemnisés ni quand le pont reprendra ses opérations. L'issue de ces décisions constituera un indicateur clé pour les utilisateurs évaluant la gestion de l'incident par la plateforme et la sécurité de l'infrastructure inter-chaînes sur le XRP Ledger de manière plus générale.