Een aanvaller heeft op 9 augustus 2026 bijna 200.000 XRP — ter waarde van ongeveer $200.000 — gedraineerd uit een blockchain-bridge die de XRP Ledger verbindt met het Coreum (tx)-netwerk. De exploit richtte zich op een softwarekwetsbaarheid die het mogelijk maakte dat vervalste stortingsrecords de controle doorstonden en legitieme opnames uit de reserve wallet van de bridge triggerden.

tx bevestigde het incident in een publieke verklaring op 11 augustus 2026:

An update on the XRPL bridge incident. On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…

— tx (@txEcosystem) August 11, 2026

De bridge verbond de XRP Ledger met Coreum, een blockchain die in maart 2026 herdoopt werd tot tx en zich richt op het tokeniseren van echte-wereld activa. Blockchain-bridges — die anderszins incompatibele netwerken verbinden door activa op de ene chain te vergrendelen en equivalenten op de andere uit te geven — behoren tot de meest frequent geëxploiteerde categorieën van gedecentraliseerde financiële infrastructuur. Grote incidenten met bridges zoals Wormhole, Nomad en het Ronin Network hebben gezamenlijk geleid tot miljarden dollars aan verliezen, vaak voortkomend uit validatiefouten in plaats van cryptografische breuken.

Hoe de Exploit Werkte

Blockchain-bridges functioneren als kluizen met bon-systemen. Gebruikers storten XRP in een reserve wallet, en de bridge mint een equivalente hoeveelheid wrapped tokens op de bestemmingschain. Het terugkeren van die tokens stelt de gebruiker in staat om de oorspronkelijke XRP op te nemen.

De aanvaller omzeilde dit proces door ontvangstbewijzen te verkrijgen zonder daadwerkelijke stortingen uit te voeren. De relayer-software — verantwoordelijk voor het monitoren van beide blockchains en het autoriseren van overdrachten — verifieerde of een betaling was geslaagd en las de memo die aan elke transactie was gekoppeld. De software bevestigde echter niet of betalingen daadwerkelijk naar het bridge-adres werden gestuurd.

De aanvaller maakte gebruik van deze lacune door wallet-naar-wallet overdrachten te sturen met memo's die waren opgemaakt om bridge-stortingen na te bootsen. Relayers interpreteerden deze transacties als legitiem en logden ze als echte stortingen. Zodra voldoende relayers consensus bereikten, crediteerde het systeem saldi die geen onderliggende XRP-dekking hadden. De aanvaller gebruikte vervolgens het standaard opnameproces om echte XRP uit de reserve van de bridge te halen.

De fout — een tekortkoming in het verifiëren van het bestemmingsadres van een betaling — valt onder een klasse van invoervalidatiefouten die beveiligingsauditeurs routinematig markeren in bridge-architectuur, waarbij relayers onafhankelijk meerdere voorwaarden moeten bevestigen voordat ze cross-chain overdrachten autoriseren.

On-Chain Bewijs

On-chain analyse spoorde 199.916,3 XRP op die de bridge-rekening verlieten via 94 betalingen tussen 19:16 UTC en 20:53 UTC op 9 augustus — een periode van 97 minuten. Voorafgaand aan de aanval hield de bridge ongeveer 200.410 XRP aan. Na de drain restte slechts 493,5 XRP.

Elke uitgaande betaling droeg 17 van 28 relayer-handtekeningen, waarmee werd voldaan aan de vereiste meerderheidsdrempel. Onderzoekers vonden geen bewijs dat relayer-sleutels waren gecompromitteerd.

Blockchain-analisten verwierpen ook een eerdere theorie dat de "rippling"-functie van de XRP Ledger verantwoordelijk zou zijn. Rippling is uitsluitend van toepassing op uitgegeven activa die via trust lines worden vastgehouden, terwijl native XRP geen trust lines gebruikt. Alle 199.916 XRP vertrokken via door de bridge ondertekende betalingen, niet via rippling. Het incident voortvloeide uit een fout in de bridge-software die de twee netwerken verbindt, niet uit een kwetsbaarheid in een van de blockchains zelf.

Verplaatsing van Gestolen Gelden

Na de drain werden de gestolen XRP snel verspreid. Ongeveer 169.000 XRP werd overgezet naar twee staging wallets die op 28 juni waren aangemaakt. Een aanvullende 34.000 XRP werd naar drie andere adressen verplaatst. De aanvaller is niet geïdentificeerd.

Reactie en Status

tx verklaarde dat het de kwetsbare code heeft geïdentificeerd en geremedieerd, blockchain-forensisch specialisten heeft ingeschakeld, en een melding heeft ingediend bij het Internet Crime Complaint Center (IC3) van de FBI. De bridge blijft stilgelegd terwijl het team potentiële remedies evalueert.

Het bedrijf heeft niet bekendgemaakt hoe getroffen gebruikers zullen worden gecompenseerd of wanneer de bridge de werkzaamheden zal hervatten. De uitkomst van die beslissingen zal een belangrijke graadmeter vormen voor gebruikers die de afhandeling van het incident door het platform en de veiligheid van cross-chain infrastructuur op de XRP Ledger in bredere zin beoordelen.