Через два дня после инцидента выяснилось, что межсетевой мост Coreum потерял около 200 000 XRP во время 97-минутной атаки. Первоначальные теории в социальных сетях связывали инцидент с уязвимостью в функции «rippling» реестра XRP Ledger.
Однако аналитический отчет от xrpl.to показал, что мост фактически ограбил сам себя, слепо доверяя транзакциям злоумышленника.
Как было потеряно 200 000 XRP
У нативного XRP нет эмитента или доверительных линий, поэтому rippling для него технически невозможен. Более того, каждый вредоносный платеж был подписан с использованием собственной легитимной мультиподписи моста, с кворумом из 17 из 28 ключей ретрансляторов, или валидаторов. Хакер не взломал ключи, а просто создал иллюзию депозита для валидаторов.
Сначала злоумышленник перемещал свои собственные обернутые токены, или wrapped-CORE, между кошельками, которыми он управлял, прикрепляя к этим транзакциям мемо с деталями перевода для Coreum. Поскольку обернутые токены были выпущены самим мостом, переводы появлялись в его истории транзакций без каких-либо проблем.
Здесь и проявилось слепое пятно системы. Операторы ретрансляторов проверяли только то, произошел ли перевод и что было написано в поле мемо, полностью игнорируя адрес получателя.
Проверка, подтверждающая, что средства действительно были отправлены на кошелек моста, просто никогда не была добавлена в код ретранслятора.
В результате Coreum принял фальшивые депозиты и зачислил хакеру баланс в своей сети. Затем злоумышленник запросил обычный вывод средств, и валидаторы без колебаний подписали транзакции, отправив 200 000 реальных XRP с кошелька моста в XRPL.
Команда, ответственная за безопасность моста, имеет долгую историю ребрендинга. Первоначально она создала проект Sologenic (SOLO) на XRPL, затем запустила собственный блокчейн первого уровня Coreum, а в марте 2026 года объединила обе экосистемы под американским брендом TX, ориентированным на токенизацию реальных активов (RWA).
Тот факт, что регулируемая американская компания, претендующая на институциональный статус, могла допустить такую базовую ошибку в своей логике межсетевой проверки, наносит больший ущерб репутации TX, чем потерянная сумма.
Это переводит вопрос о том, кто виноват, из области случайной ошибки в область системного контроля качества внутри компании.
Что сейчас происходит с токенами?
На момент написания статьи команда TX все еще не опубликовала официальный отчет о разборе инцидента. Мост Coreum оставался полностью приостановленным.
Личность хакера остается неизвестной, но ончейн-трекеры уже видят классическую попытку замести следы. Украденный XRP быстро распределяется через цепочку транзитных кошельков, которые были созданы за полтора месяца до атаки.
