В результате программной ошибки, позволившей злоумышленнику получить доступ к депозитам, которые никогда не были внесены, и вывести реальные токены, используя поддельные балансы, мост $XRP потерял почти 200 000 $XRP, что эквивалентно примерно $200 000 по текущим ценам.
Мост соединял $XRP Ledger с отдельным блокчейном Coreum, который в марте этого года был переименован в американскую компанию tx, специализирующуюся на токенизации реальных активов. 9 августа токены $XRP покинули резервный кошелек моста за 97 минут, после чего система была остановлена.
Мост должен работать как хранилище с системой расписок. Пользователь отправляет $XRP в резервный кошелек на $XRP Ledger, и мост создает эквивалентное количество $XRP в другом кошельке. Возврат этих токенов позволяет пользователю вывести реальные $XRP, хранящиеся в резерве.
Злоумышленник нашел способ заставить систему выдавать расписки, не помещая ничего в хранилище.
Согласно данным tx, программное обеспечение моста регистрировало транзакции как депозиты, хотя на мост так и не были доставлены $XRP. Это предоставило злоумышленнику доступ к $XRP через мост в блокчейне tx без реальных $XRP, которые должны были его обеспечивать. Затем эти необеспеченные токены вернулись через мост, и злоумышленник вывел реальные $XRP из резерва.
Как отсутствие чека позволило злоумышленнику вывести $XRP, которые никогда не были внесены на счет. Источник: Shaurya Malwa.
Сброс средств начался в 19:16 UTC. Каждая выплата была авторизована 17 из 28 ретрансляторов моста, большинство из которых подтвердили это именно так, как было задумано, поскольку собственные записи моста указывали на реальность депозитов.
Ретрансляторы — это программы, которые отслеживают оба блокчейна и одобряют переводы, когда записи моста указывают на необходимость вывода средств.
Однако конкретная ошибка затронула один уровень, поскольку код ретранслятора обрабатывал платежи, содержащие меморандум моста, без предварительной проверки адреса получателя.
tx подтвердил уязвимость в обнаружении депозитов в обновлении, сообщив, что злоумышленник использовал программное обеспечение, которое неправильно распознавало транзакции, не доставившие $XRP в резерв.
«Обновленная информация об инциденте с мостом XRPL. 9 августа мост XRPL tx был взломан, и $XRP были выведены из резервного кошелька моста на $XRP Ledger. Работа моста приостановлена, уязвимость выявлена, и оцениваются все возможные способы устранения проблемы», — написал tx (@txEcosystem) 11 августа 2026 года.
В проекте добавили, что выявили и исправили уязвимый код, привлекли специалистов по блокчейн-криминалистике и подали жалобу в Центр по борьбе с интернет-преступлениями ФБР. Они не сообщили, как пострадавшим держателям будет выплачена компенсация.
Между тем, украденные $XRP не остались на месте. Отслеживание в блокчейне показывает, что их большая часть переместилась в течение нескольких часов через несколько других адресов.