Il 9 agosto 2026, un attaccante ha prosciugato quasi l'intera riserva di XRP che supporta il bridge tra l'XRP Ledger e la blockchain tx. L'attaccante si è impossessato di circa 199.916 XRP, per un valore di circa $200.000, lasciando le XRP in bridge possedute dagli utenti tx senza sufficienti token reali per il riscatto.

tx ha successivamente sospeso il bridge e presentato una segnalazione all'Internet Crime Complaint Center dell'FBI.

Come ha funzionato l'exploit

L'attaccante ha inviato prove contraffatte di depositi che non sono mai avvenuti. I registri del bridge hanno accettato queste prove come legittime.

In condizioni normali, il bridge blocca XRP reali in un wallet di riserva sull'XRP Ledger ed emette una quantità equivalente di XRP in bridge sulla chain partner. Quando gli utenti restituiscono i token in bridge, il sistema è progettato per rilasciare le corrispondenti XRP autentiche. I bridge cross-chain sono diventati bersagli ricorrenti nel settore crypto proprio perché concentrano grandi pool di asset reali in un singolo wallet di riserva che una vulnerabilità nella logica di bridging può sbloccare.

La vulnerabilità ha permesso all'attaccante di ottenere token in bridge senza prima finanziare il deposito. Poteva quindi inviare quei token nuovamente attraverso il bridge per prelevare XRP reali dalla riserva.

tx ha confermato in un aggiornamento ufficiale che il suo software "ha registrato in modo errato transazioni che non hanno mai effettivamente consegnato alcuna XRP al bridge come depositi" ed emesso XRP in bridge contro quei depositi fantasma.

Il software dei relayer analizzava l'account del bridge alla ricerca di pagamenti contenenti un memo con il destinatario tx, ma non verificava mai dove il pagamento fosse effettivamente diretto. Un memo apparentemente legittimo faceva riferimento al wallet dell'attaccante stesso.

Prosciugamento di 97 minuti approvato da 17 relayer

Il prosciugamento è iniziato alle 19:16 UTC del 9 agosto ed è durato 97 minuti, con 94 transazioni individuali.

Una netta maggioranza di 17 dei 28 relayer del bridge ha approvato ogni pagamento, funzionando come il sistema era progettato per fare. I relayer sono programmi che monitorano entrambe le chain e autorizzano un prelievo quando i registri del bridge indicano che ne è dovuto uno. Poiché i registri mostravano i depositi come reali, i relayer li hanno elaborati di conseguenza. Tutti i relayer eseguivano lo stesso codice difettoso e hanno restituito lo stesso risultato errato — una configurazione che offriva ridondanza contro guasti dei singoli nodi ma nessuna diversità di logica che avrebbe potuto intercettare l'errore.

L'account di liquidità ha pagato 199.916 XRP ed è rimasto con 493 XRP, per un valore di circa $500 — il 99,7% della riserva prosciugata. tx ha riconosciuto che le XRP in bridge sulla sua chain "non sono attualmente pienamente garantite."

An update on the XRPL bridge incident.

On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…

— tx (@txEcosystem) August 11, 2026

https://x.com/txEcosystem/status/2087269579190046895?s=20

Contesto del progetto e risposta

tx è un progetto con sede negli Stati Uniti focalizzato sulla tokenizzazione di asset del mondo reale (RWA). È un rebrand della chain Coreum, che all'inizio del 2026 ha unito le community di Coreum e Sologenic.

Nella sua dichiarazione, tx ha affermato che il bridge aveva superato "molteplici audit interni e di terze parti prima del deployment", nessuno dei quali aveva rilevato il bug nella verifica dei depositi. Gli audit degli smart contract si concentrano tipicamente su classi di vulnerabilità ben note come la reentrancy, l'overflow di interi e il controllo degli accessi. Le vulnerabilità nella logica di business — in cui i singoli componenti funzionano come scritti ma il sistema nel suo complesso gestisce in modo errato un caso limite come un deposito non finanziato — sono più difficili da rilevare con strumenti di audit standard e sono state alla radice di diversi importanti exploit di bridge negli ultimi anni.

L'azienda ha riferito di aver disabilitato il bridge, corretto la vulnerabilità di sicurezza nel codice, coinvolto specialisti forensi blockchain e presentato una segnalazione all'FBI. tx non ha specificato come verranno rimborsati i detentori di XRP in bridge non garantite.

Il recupero appare incerto. Entro poche ore dall'attacco, gran parte delle XRP rubate era già stata trasferita attraverso una catena di altri indirizzi.

XRP è scesa a $0,9905 l'11 agosto, segnando la prima transazione sotto il dollaro da novembre 2024. Il token è attualmente scambiato a $1,01, in calo del 69% dall'inizio dell'anno.

Exploit di bridge nel 2026

L'incidente si aggiunge a una serie di exploit relativi ai bridge nel 2026. Come precedentemente riportato da Cryptopolitan, a maggio un attaccante ha rubato circa $11,5 milioni dal bridge Verus-Ethereum utilizzando una Merkle proof contraffatta, portando le perdite totali dei bridge a oltre $328 milioni in otto incidenti principali nel 2026.

La società di sicurezza Blockaid ha collegato quell'hack alla stessa classe di vulnerabilità sfruttata nelle violazioni di Wormhole e Nomad del 2022: la chain di destinazione ha accettato una proof senza collegarla a un trasferimento effettivo. L'exploit di tx riprende lo stesso schema — un bridge ha considerato attendibili i dati ricevuti senza confermare indipendentemente che il trasferimento sottostante fosse avvenuto.