Мост tx XRPL лишился 199,916 XRP из-за эксплойта проверки депозитов
Ключевые выводы
- •Злоумышленник похитил примерно 199,916 XRP на сумму около $200,000, подав поддельные доказательства депозитов, которые мост принял как действительные без проверки фактических переводов.
- •17 из 28 релееров моста одобрили 94 мошеннические транзакции за 97 минут, поскольку все релееры работали на одном и том же ошибочном коде, который не проверял, куда фактически был направлен платеж.
- •Резерв моста был оставлен всего с 493 XRP стоимостью примерно $500, что означало исчерпание 99.7% запасов и недостаточное обеспечение bridged XRP в сети tx реальными токенами.
- •Перед запуском мост прошел несколько внутренних и сторонних аудитов, однако ни один из них не выявил ошибку в бизнес-логике, позволившую фантомным депозитам запускать выпуск bridged-токенов.
- •tx не сообщила, как будут компенсированы держатели необеспеченных bridged XRP, а значительная часть украденных средств была быстро переведена через цепочку других адресов.
9 августа 2026 года злоумышленник почти полностью опустошил резерв XRP, обеспечивавший мост между XRP Ledger и блокчейном tx. Злоумышленник вывел примерно 199,916 XRP на сумму около $200,000, оставив bridged XRP, принадлежащие пользователям tx, без достаточного количества реальных токенов для погашения.
tx с тех пор остановила мост и подала заявление в FBI’s Internet Crime Complaint Center.
Как был реализован эксплойт
Злоумышленник предоставил поддельные доказательства депозитов, которых на самом деле не было. Внутренние записи моста приняли эти доказательства как действительные.
При обычной работе мост блокирует реальные XRP в резервном кошельке на XRP Ledger и выпускает эквивалентный объем bridged XRP на партнерской цепи. Когда пользователи возвращают bridged-токены, система должна освобождать соответствующие настоящие XRP. Межсетевые мосты стали регулярной целью в криптосекторе именно потому, что концентрируют крупные объемы реальных активов в одном резервном кошельке, который может быть разблокирован из-за ошибки в логике моста.
Уязвимость позволила злоумышленнику получить bridged-токены без предварительного пополнения резерва. Затем он смог отправить эти токены обратно через мост, чтобы вывести реальные XRP из резерва.
tx подтвердила в официальном обновлении, что ее программное обеспечение «incorrectly registered transactions that never actually delivered any XRP to the bridge as deposits» и выпускало bridged XRP под эти фантомные депозиты.
Программное обеспечение релееров сканировало счет моста в поиске платежей с memo для получателя tx, но никогда не проверяло, куда фактически был направлен платеж. На первый взгляд корректный memo ссылался на собственный кошелек злоумышленника.
97-минутный вывод средств был одобрен 17 релеерами
Вывод средств начался в 19:16 UTC 9 августа и продолжался 97 минут, охватив 94 отдельные транзакции.
Явное большинство — 17 из 28 релееров моста — одобрили каждую выплату, как и было предусмотрено системой. Релееры — это программы, которые отслеживают обе цепочки и разрешают вывод средств, если записи моста указывают, что выплата должна быть проведена. Поскольку записи показывали депозиты как реальные, релееры обрабатывали их соответствующим образом. Все релееры работали на одном и том же ошибочном коде и выдавали один и тот же неверный результат — такая конфигурация обеспечивала резервирование на случай отказа отдельных узлов, но не разнообразие логики, которое могло бы выявить ошибку.
Счёт ликвидности выплатил 199,916 XRP и был оставлен с 493 XRP, стоимостью примерно $500 — то есть 99.7% резерва были исчерпаны. tx признала, что bridged XRP в ее сети «is not currently fully backed.»
An update on the XRPL bridge incident.
On August 9, the tx XRPL bridge was exploited and XRP was drained from the bridge's reserve wallet on the XRP Ledger. The bridge has been halted, the vulnerability has been identified, and all potential remedies are being evaluated. This…
— tx (@txEcosystem) August 11, 2026
https://x.com/txEcosystem/status/2087269579190046895?s=20
В 2026 году криптомосты продолжают терять средства
tx — это проект из США, который нацелен на токенизацию реальных активов (RWAs). Это ребрендинг сети Coreum, которая ранее в 2026 году объединила сообщества Coreum и Sologenic.
В своем заявлении tx сообщила, что мост прошел «multiple internal and third-party audits prior to deployment», которые не выявили ошибку в обнаружении депозитов.
Компания заявила, что отключила мост, исправила уязвимость в коде, привлекла специалистов по блокчейн-форензике и подала отчет в FBI’s Internet Crime Complaint Center.
Она не уточнила, как будут компенсированы держатели необеспеченных bridged XRP. Восстановление выглядит сложным. Уже в течение нескольких часов значительная часть украденных XRP была переведена по цепочке других адресов.
XRP опускался до $0.9905 11 августа, впервые с ноября 2024 года торгуясь ниже одного доллара. Сейчас монета торгуется по $1.01, что на 69% ниже уровня начала года.
Cryptopolitan сообщал в мае, что злоумышленник украл около $11.5 million с моста Verus-Ethereum с помощью поддельного Merkle proof, доведя общие потери из-за атак на мосты до более чем $328 million в восьми крупных инцидентах в 2026 году.
Компания по безопасности Blockaid связала тот взлом с тем же типом уязвимости, который использовался в атаках на Wormhole и Nomad в 2022 году: принимающая цепочка принимала proof, не связывая его с фактическим переводом. Уязвимость tx повторяет ту же схему — мост доверял полученным данным, не подтверждая независимо, что базовый перевод действительно произошел.
