Un attaccante ha sottratto quasi 200.000 XRP — per un valore di circa 200.000 dollari — da un bridge blockchain che collegava l'XRP Ledger alla rete Coreum (tx) il 9 agosto 2026. L'exploit ha preso di mira una vulnerabilità software che ha permesso a registrazioni di deposito contraffatte di superare i controlli e innescare prelievi legittimi dal wallet di riserva del bridge.

tx ha confermato l'incidente in una dichiarazione pubblica l'11 agosto 2026:

An update on the XRPL bridge incident. On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…

— tx (@txEcosystem) August 11, 2026

Il bridge collegava l'XRP Ledger a Coreum, una blockchain che a marzo 2026 ha cambiato nome in tx e si concentra sulla tokenizzazione di asset del mondo reale. I bridge blockchain — che collegano reti altrimenti incompatibili bloccando asset su una chain ed emettendo equivalenti su un'altra — sono stati tra le categorie di infrastrutture di finanza decentralizzata sfruttate più di frequente. Incidenti importanti che hanno coinvolto bridge come Wormhole, Nomad e la Ronin Network hanno complessivamente causato perdite per miliardi di dollari, spesso derivanti da difetti di validazione piuttosto che da violazioni crittografiche.

Come ha funzionato l'exploit

I bridge blockchain funzionano come cave con un sistema di ricevute. Gli utenti depositano XRP in un wallet di riserva e il bridge conia una quantità equivalente di token wrapped sulla chain di destinazione. La restituzione di tali token consente all'utente di prelevare l'XRP originale.

L'attaccante ha aggirato questo processo ottenendo le ricevute senza effettuare depositi reali. Il software dei relayer — responsabile del monitoraggio di entrambe le blockchain e dell'autorizzazione dei trasferimenti — verificava se un pagamento fosse andato a buon fine e leggeva il memo allegato a ciascuna transazione. Tuttavia, non confermava che i pagamenti fossero effettivamente indirizzati all'indirizzo del bridge.

L'attaccante ha sfruttato questa lacuna inviando trasferimenti da wallet a wallet con memo formattati in modo da imitare i depositi del bridge. I relayer hanno interpretato queste transazioni come legittime e le hanno registrate come depositi reali. Una volta che un numero sufficiente di relayer ha raggiunto il consenso, il sistema ha accreditato saldi che non avevano alcun XRP sottostante a garanzia. L'attaccante ha quindi utilizzato il normale processo di prelievo per estrarre XRP genuino dalla riserva del bridge.

Il difetto — la mancata verifica dell'indirizzo di destinazione di un pagamento — rientra in una classe di errori di validazione degli input che gli auditor di sicurezza segnalano routinariamente nell'architettura dei bridge, dove i relayer devono confermare indipendentemente molteplici condizioni prima di autorizzare trasferimenti cross-chain.

Evidenze on-chain

L'analisi on-chain ha tracciato 199.916,3 XRP in uscita dall'account del bridge attraverso 94 pagamenti tra le 19:16 UTC e le 20:53 UTC del 9 agosto — un arco di 97 minuti. Prima dell'attacco, il bridge deteneva circa 200.410 XRP. Dopo il drenaggio, restavano solo 493,5 XRP.

Ciascun pagamento in uscita recava 17 delle 28 firme dei relayer, raggiungendo la soglia di maggioranza richiesta. Gli investigatori non hanno trovato alcuna prova che le chiavi dei relayer fossero state compromesse.

Gli analisti blockchain hanno inoltre escluso una teoria precedente secondo cui la funzione di "rippling" dell'XRP Ledger fosse responsabile. Il rippling si applica esclusivamente agli asset emessi detenuti tramite trust line, mentre l'XRP nativo non utilizza trust line. Tutti i 199.916 XRP sono usciti tramite pagamenti firmati dal bridge, non tramite rippling. L'incidente è derivato da un difetto nel software del bridge che collegava le due reti, non da una vulnerabilità in una delle due blockchain stesse.

Movimento dei fondi rubati

In seguito al drenaggio, l'XRP rubato è stato disperso rapidamente. Circa 169.000 XRP sono stati trasferiti in due wallet di transizione creati il 28 giugno. Altri 34.000 XRP sono stati spostati in tre indirizzi separati. L'attaccante non è stato identificato.

Risposta e stato

tx ha dichiarato di aver identificato e corretto il codice vulnerabile, di aver coinvolto specialisti di forensics blockchain e di aver presentato un reclamo presso l'Internet Crime Complaint Center (IC3) dell'FBI. Il bridge rimane sospeso mentre il team valuta le possibili soluzioni.

L'azienda non ha comunicato come saranno risarciti gli utenti colpiti né quando il bridge riprenderà le operazioni. L'esito di tali decisioni rappresenterà un indicatore chiave per gli utenti che valutano la gestione dell'incidente da parte della piattaforma e la sicurezza delle infrastrutture cross-chain sull'XRP Ledger più in generale.