Zwei Tage nach dem Vorfall stellte sich heraus, dass die Coreum-Cross-Chain-Brücke bei einem 97-minütigen Angriff etwa 200.000 XRP verlor. Erste Theorien in den sozialen Medien brachten den Vorfall mit einer Schwachstelle in der "Rippling"-Funktion des XRP Ledgers in Verbindung.
Ein Analysebericht von xrpl.to zeigte jedoch, dass die Brücke sich im Grunde selbst beraubte, indem sie den Transaktionen des Angreifers blind vertraute.
Wie 200.000 XRP verloren gingen
Natives XRP hat keinen Emittenten oder Trust Lines, daher ist Rippling technisch unmöglich. Darüber hinaus wurde jede bösartige Zahlung mit der eigenen legitimen Multisignatur der Brücke signiert, mit einem Quorum von 17 von 28 Relayer-Schlüsseln bzw. Validatoren. Der Hacker kompromittierte die Schlüssel nicht, sondern erzeugte nur die Illusion einer Einzahlung für die Validatoren.
Zuerst bewegte der Angreifer seine eigenen Wrapped-Token, oder Wrapped-CORE, zwischen Wallets, die er kontrollierte, wobei diesen Transaktionen ein Memo mit Transferdetails für Coreum beigefügt war. Da die Wrapped-Token von der Brücke selbst ausgegeben worden waren, erschienen die Transfers ohne Probleme in ihrer Transaktionshistorie.
Hier kam der blinde Fleck des Systems ins Spiel. Die Relayer-Betreiber prüften nur, ob eine Übertragung stattgefunden hatte und was im Memo-Feld stand, während sie die Empfängeradresse völlig ignorierten.
Eine Prüfung, die bestätigte, dass die Gelder tatsächlich an die Wallet der Brücke gesendet worden waren, war dem Relayer-Code einfach nie hinzugefügt worden.
Infolgedessen akzeptierte Coreum die gefälschten Einzahlungen und schrieb dem Hacker ein Guthaben in seinem Netzwerk gut. Der Angreifer forderte dann eine reguläre Auszahlung an, und die Validatoren signierten die Transaktionen, die 200.000 echte XRP aus der XRPL-Wallet der Brücke ohne Zögern sendeten.
Das Team, das für die Sicherheit der Brücke verantwortlich ist, hat eine lange Geschichte des Rebrandings. Es gründete zunächst das Sologenic (SOLO)-Projekt auf dem XRPL, startete dann seine eigene Layer-1-Blockchain Coreum und fusionierte im März 2026 beide Ökosysteme unter der US-Marke TX, die sich auf die Tokenisierung realer Vermögenswerte (RWAs) konzentriert.
Die Tatsache, dass ein reguliertes US-Unternehmen, das institutionellen Status beansprucht, einen so grundlegenden Fehler in seiner Cross-Chain-Verifizierungslogik machen konnte, schadet dem Ruf von TX mehr als der verlorene Betrag.
Es verschiebt die Frage, wer schuld ist, vom Bereich eines zufälligen Bugs zu dem der systemischen Qualitätskontrolle innerhalb des Unternehmens.
Was passiert jetzt mit den Token?
Zum Zeitpunkt des Schreibens hatte das TX-Team noch keinen offiziellen Post-Mortem-Bericht veröffentlicht. Die Coreum-Brücke blieb vollständig ausgesetzt.
Die Identität des Hackers bleibt unbekannt, aber On-Chain-Tracker sehen bereits einen klassischen Versuch, die Spuren zu verwischen. Die gestohlenen XRP werden schnell über eine Kette von Transit-Wallets verteilt, die anderthalb Monate vor dem Angriff erstellt wurden.
