2026年8月9日、攻撃者はXRP Ledgerとtxブロックチェーン間のブリッジを裏付けとするXRPリザーブのほぼ全額を流失させました。攻撃者は約199,916 XRP（約200,000ドル相当）を奪取し、txユーザーが保有するブリッジドXRPは引き換えに必要な実トークンの裏付けを失いました。

txはブリッジを停止し、FBIのインターネット犯罪苦情センターに報告書を提出しました。

エクスプロイトの仕組み

攻撃者は実際には発生していないデポジットの偽造証明を提出しました。ブリッジ自身の記録はこの証明を正当なものとして受け入れました。

通常の運用では、ブリッジはXRP Ledger上のリザーブウォレットに実際のXRPをロックし、パートナーチェーン上に同等額のブリッジドXRPをミントします。ユーザーがブリッジドトークンを返却すると、システムは対応する本物のXRPを解放する仕組みになっています。クロスチェーンブリッジが暗号セクターで繰り返し標的となっているのはまさに、大規模な実資産のプールを単一のリザーブウォレットに集中させ、ブリッジングロジックの欠陥がその鍵を開けてしまう可能性があるためです。

この脆弱性により、攻撃者はまず金庫に資金を供給することなくブリッジドトークンを取得できました。その後、それらのトークンをブリッジ経由で送り返すことで、リザーブから実際のXRPを引き出すことができました。

txは公式アップデートの中で、同社のソフトウェアが「実際にはブリッジにXRPを一切送金しなかった取引をデポジットとして誤って登録」し、それらの架空のデポジットに対してブリッジドXRPをミントしたことを認めました。

リレーヤーソフトウェアはtx受取人メモを含む支払いについてブリッジアカウントをスキャンしていましたが、支払いが実際にどこに向けられていたかを確認することはありませんでした。一見正当に見えるメモが攻撃者自身のウォレットを参照していました。

17台のリレーヤーが承認した97分間の流出

流出は8月9日の19:16 UTCに始まり、94件の個別取引にわたって97分間続きました。

ブリッジの28台のリレーヤーのうち17台という明確な過半数が、システムが設計された通りに機能し、すべての支払いを承認しました。リレーヤーとは、両方のチェーンを監視し、ブリッジの記録が出金の必要があることを示した場合に引き出しを承認するプログラムです。記録ではデポジットが本物であると示されていたため、リレーヤーはそれに従って処理を行いました。すべてのリレーヤーが同じ欠陥のあるコードを実行し、同じ誤った結果を返しました。この構成は個々のノード障害に対する冗長性を提供しましたが、エラーを検出できたはずの論理的多様性はありませんでした。

流動性アカウントは199,916 XRPを支払い、残高は約500ドル相当の493 XRPとなりました。これはリザーブの99.7%が枯渇したことを意味します。txは自チェーン上のブリッジドXRPが「現在完全には裏付けられていない」ことを認めました。

An update on the XRPL bridge incident.

On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…

— tx (@txEcosystem) August 11, 2026

https://x.com/txEcosystem/status/2087269579190046895?s=20

プロジェクトの背景と対応

txは実世界資産（RWA）のトークン化に注力する米国ベースのプロジェクトです。2026年前半にCoreumコミュニティとSologenicコミュニティを統合したCoreumチェーンのリブランドです。

txは声明の中で、ブリッジが「デプロイ前に複数の内部監査および第三者監査を通過」したものの、いずれもデポジット検証のバグを検出しなかったと述べました。スマートコントラクト監査は通常、リエントランシー、整数オーバーフロー、アクセス制御などのよく知られた脆弱性クラスに焦点を当てます。ビジネスロジックの欠陥、つまり個々のコンポーネントは仕様通りに機能するがシステム全体が未資金化デポジットのようなエッジケースを誤処理するような問題は、標準的な監査ツールでは発見がより困難であり、近年の主要なブリッジエクスプロイトの複数において根本原因となってきました。

同社はブリッジを無効化し、コードのセキュリティ欠陥を修正し、ブロックチェーン法医学専門家を雇用し、FBIに報告書を提出したと報告しました。txは裏付けのないブリッジドXRPの保有者にどのように補償するかを明記していません。

回収は不確実な状況です。攻撃から数時間以内に、盗まれたXRPの大部分はすでに他の複数アドレスの連鎖を通じて移動されていました。

XRPは8月11日に0.9905ドルまで下落し、2024年11月以来となる1ドル割れを記録しました。現在のトークン価格は1.01ドルで、年初来69%下落しています。

2026年のブリッジエクスプロイト

今回の事件は、2026年の一連のブリッジ関連エクスプロイトに新たに加わるものです。Cryptopolitanが以前報じたように、5月に攻撃者が偽造されたマークルプルーフを使用してVerus-Ethereumブリッジから約11.5百万ドルを盗み出し、2026年の主要な8件の事件におけるブリッジ損失合計は328百万ドルを超えました。

セキュリティ企業のBlockaidは、このハックを2022年のWormholeおよびNomadの侵害で悪用されたものと同じ種類の脆弱性に結びつけました。宛先チェーンが実際の送金に結びつけることなく証明を受け入れたのです。今回のtxエクスプロイトも同じパターンを踏襲しています。ブリッジが、受信したデータを、その背後にある送金が実際に行われたかを独立して確認することなく信頼したのです。