Il hackeraggio bridge XRP Coreum ha svuotato in poco più di un’ora e mezza quasi tutta la liquidità del ponte cross-chain che collegava la XRP Ledger all’ecosistema Coreum. Un attaccante ha sottratto 199.916 XRP, pari a oltre 200.000 dollari, sfruttando non una falla nella blockchain di Ripple ma un difetto nel software che gestiva i depositi. Il bilancio del bridge, che il 9 agosto contava circa 200.410 XRP, si è ridotto a poco più di 493 token nel giro di 94 transazioni.
Summary
Punti chiave
- L’attacco è avvenuto il 9 agosto e ha svuotato il 99,7% della riserva XRP del bridge Coreum in appena 97 minuti, tra le 19:16 e le 20:53 UTC.
- Sono state eseguite 94 transazioni per un totale di 199.916 XRP, senza che nessuna chiave privata venisse compromessa.
- La causa è un bug nel software relayer, che validava i depositi solo controllando un memo, senza verificare l’effettiva destinazione dei pagamenti.
- TX, il brand che ha assorbito Coreum e Sologenic, ha confermato l’incidente e presentato una denuncia all’FBI.
- Il prezzo di XRP è sceso sotto 1 dollaro per la prima volta da novembre 2024, con un calo del 45% da inizio anno.
Come è avvenuto l’exploit sul bridge Coreum
L’attaccante ha creato prove false di depositi che hanno ingannato gli operatori del bridge, spingendoli ad autorizzare prelievi reali di XRP dal portafoglio XRPL. Secondo l’analisi di xrpl.to, il meccanismo era piuttosto elementare: l’aggressore ha spostato i propri token wrapped-CORE tra portafogli sotto il suo controllo, allegando alle transazioni un memo con dettagli di trasferimento riferiti a Coreum.
Poiché questi token wrapped erano stati emessi dal bridge stesso, i trasferimenti sono comparsi senza problemi nella cronologia della piattaforma. Il relayer verificava soltanto che un trasferimento fosse avvenuto e cosa fosse scritto nel campo memo, ignorando completamente l’indirizzo del destinatario reale. Il controllo che avrebbe dovuto confermare l’effettivo invio dei fondi al wallet del bridge non era mai stato inserito nel codice.
Una volta che Coreum ha accreditato all’attaccante un saldo fittizio sulla propria rete, quest’ultimo ha semplicemente richiesto un prelievo ordinario. I validatori hanno firmato le transazioni senza esitazione, inviando XRP reali dal portafoglio XRPL del bridge.
Il ruolo degli operatori indipendenti
Gli operatori del bridge, teoricamente indipendenti tra loro, hanno raggiunto tutti le stesse conclusioni errate perché eseguivano il medesimo codice difettoso. L’autorizzazione richiedeva il consenso di 17 chiavi relayer su 28, una soglia di quorum pensata per garantire sicurezza distribuita. Ma se ogni nodo ripete lo stesso errore di verifica, il meccanismo di consenso multisig non serve a nulla: ha semplicemente certificato all’unanimità operazioni fraudolente.
Questo è il punto centrale della vulnerabilità bridge XRP: i ponti cross-chain basati su relayer, invece che su prove crittografiche verificabili on-chain, dipendono dalla correttezza del software che li governa. Quando quella logica ha un bug, l’intero modello di sicurezza crolla insieme a essa, indipendentemente da quante firme vengano raccolte.
La risposta di TX e la denuncia all’FBI
TX, il brand che da febbraio integra le comunità Coreum e Sologenic nel progetto di tokenizzazione di asset reali, ha confermato l’incidente con una dichiarazione ufficiale. L’azienda ha ammesso che il software ha “registrato in modo errato transazioni che non hanno mai effettivamente consegnato XRP al bridge come depositi, coniando XRP bridgati sulla tx chain a fronte di quei depositi inesistenti”.
La stessa nota precisa che il bridge era stato sottoposto a “molteplici audit interni ed esterni prima del lancio”, un dettaglio che solleva interrogativi sulla reale efficacia di quei controlli. TX ha inoltre confermato che gli XRP bridgati sulla tx chain non sono attualmente completamente garantiti da riserve reali, e ha reso noto che è stata presentata una denuncia formale all’FBI.
Al momento della stesura non era ancora stato pubblicato un report post-mortem ufficiale, e il bridge Coreum resta completamente sospeso. L’identità dell’attaccante non è nota, ma i tracker on-chain segnalano che gli XRP sottratti stanno venendo rapidamente distribuiti attraverso una catena di portafogli di transito, creati circa un mese e mezzo prima dell’attacco: un dettaglio che suggerisce una pianificazione precedente all’exploit stesso.
Perché conta per il mercato XRP
Il caso pesa su un contesto già delicato per il token. Il prezzo di XRP è sceso sotto 1 dollaro, il primo dato sub-dollaro da novembre 2024, portando la perdita da inizio anno al 45% e il distacco dal massimo storico al 74%. Non si può stabilire un nesso di causa-effetto diretto e certo tra l’exploit e il calo di prezzo, ma la coincidenza temporale ha certamente pesato sul sentiment.
Va sottolineato un elemento tecnico importante: la XRP Ledger non è stata violata e nessuna chiave privata è stata compromessa. Si tratta di un fallimento di un’infrastruttura di terze parti, non di una debolezza a livello di protocollo. Questo distinguo dovrebbe limitare le conseguenze reputazionali per l’ecosistema XRP più ampio, anche se il colpo alla credibilità di TX, azienda che si presenta come piattaforma regolamentata negli Stati Uniti per la tokenizzazione di asset reali, appare più difficile da assorbire di una perdita di 200.000 dollari.
Il bridge Coreum era stato lanciato il 20 marzo 2024 con l’ambizione di collegare la XRP Ledger a oltre 110 chain compatibili con lo standard IBC, l’infrastruttura di comunicazione inter-blockchain usata nell’ecosistema Cosmos. Un progetto pensato per aprire agli holder di XRP l’accesso alla finanza decentralizzata su una rete ben più ampia, ma che oggi si trova fermo e con una domanda ancora senza risposta: quanto tempo ci vorrà prima che qualcuno si fidi di nuovo a depositare XRP su quel ponte.
FAQ
Come ha fatto l’attaccante a prelevare XRP senza rubare chiavi private?
Ha sfruttato un software relayer difettoso che validava i depositi basandosi solo sui memo dei destinatari, senza verificare l’effettiva destinazione dei pagamenti.
Perché gli operatori indipendenti hanno approvato prelievi fraudolenti?
Gli operatori eseguivano tutti lo stesso software vulnerabile, che accettava prove di deposito false, inducendoli ad autorizzare prelievi reali di XRP.
Qual è stata la risposta ufficiale di Coreum e TX all’exploit?
TX ha confermato l’incidente, ammettendo che il software registrava erroneamente depositi falsi, e ha rivelato che gli XRP bridgati sulla tx chain non sono attualmente completamente garantiti.
Quali azioni legali sono state avviate dopo l’attacco?
È stata presentata una denuncia relativa all’attacco all’FBI.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
