Dwa dni po incydencie okazało się, że most cross-chain Coreum stracił około 200 000 XRP podczas 97-minutowego ataku. Początkowe teorie w mediach społecznościowych łączyły incydent z podatnością w funkcji „rippling" w XRP Ledger.
Jednak raport analityczny z xrpl.to wykazał, że most faktycznie okradł sam siebie, ślepo ufając transakcjom atakującego.
Jak zginęło 200 000 XRP
Natywne XRP nie ma emitenta ani linii zaufania, więc rippling jest dla niego technicznie niemożliwy. Co więcej, każda złośliwa płatność została podpisana przy użyciu legalnego multisig mostu, z kworum 17 z 28 kluczy przekaźników, czyli walidatorów. Haker nie skompromitował kluczy, ale po prostu stworzył iluzję depozytu dla walidatorów.
Najpierw atakujący przeniósł swoje własne tokeny opakowane, czyli wrapped-CORE, między portfelami, które kontrolował, dołączając do tych transakcji notę z danymi transferu dla Coreum. Ponieważ tokeny opakowane zostały wyemitowane przez sam most, transfery pojawiły się w jego historii transakcji bez żadnych problemów.
Tutaj ujawniła się ślepa plamka systemu. Operatorzy przekaźników sprawdzali tylko, czy transfer miał miejsce i co było napisane w polu noty, całkowicie ignorując adres odbiorcy.
Kontrola potwierdzająca, że środki faktycznie zostały wysłane do portfela mostu, po prostu nigdy nie została dodana do kodu przekaźnika.
W rezultacie Coreum zaakceptował fałszywe depozyty i przypisał hakerowi saldo w swojej sieci. Atakujący następnie zażądał zwykłej wypłaty, a walidatorzy bez wahania podpisali transakcje wysyłające 200 000 prawdziwych XRP z portfela XRPL mostu.
Zespół odpowiedzialny za bezpieczeństwo mostu ma długą historię rebrandingu. Początkowo stworzył projekt Sologenic (SOLO) na XRPL, następnie uruchomił własny blockchain warstwy 1, Coreum, a w marcu 2026 roku połączył oba ekosystemy pod amerykańską marką TX, skoncentrowaną na tokenizacji aktywów ze świata rzeczywistego (RWA).
Fakt, że regulowana amerykańska firma pretendująca do statusu instytucjonalnego mogła popełnić tak podstawowy błąd w logice weryfikacji cross-chain, szkodzi reputacji TX bardziej niż utracona kwota.
Przenosi to pytanie o winę z obszaru przypadkowego błędu do obszaru systemowej kontroli jakości w firmie.
Co dzieje się teraz z tokenami?
W momencie pisania tego tekstu zespół TX nadal nie opublikował oficjalnego raportu po incydencie. Most Coreum pozostaje całkowicie zawieszony.
Tożsamość hakera pozostaje nieznana, ale analitycy on-chain już widzą klasyczną próbę zatarcia śladów. Skradzione XRP jest szybko rozprowadzane przez łańcuch portfeli tranzytowych, które zostały utworzone półtora miesiąca przed atakiem.
