Dois dias após o incidente, descobriu-se que a ponte cross-chain da Coreum perdeu cerca de 200.000 XRP durante um ataque de 97 minutos. Teorias iniciais nas redes sociais ligaram o incidente a uma vulnerabilidade na função "rippling" do XRP Ledger.
No entanto, um relatório analítico do xrpl.to mostrou que a ponte efetivamente roubou a si mesma ao confiar cegamente nas transações do atacante.
Como 200.000 XRP foram perdidos
XRP nativo não tem emissor ou linhas de confiança, então rippling é tecnicamente impossível para ele. Além disso, cada pagamento malicioso foi assinado usando a própria assinatura múltipla legítima da ponte, com um quórum de 17 de 28 chaves de relayer, ou validadores. O hacker não comprometeu as chaves, mas simplesmente criou a ilusão de um depósito para os validadores.
Primeiro, o atacante moveu seus próprios tokens embrulhados, ou wrapped-CORE, entre carteiras que controlava, com um memo contendo detalhes de transferência para a Coreum anexado a essas transações. Como os tokens embrulhados foram emitidos pela própria ponte, as transferências apareceram em seu histórico de transações sem problemas.
Foi aqui que o ponto cego do sistema entrou em jogo. Os operadores de relayer verificaram apenas se uma transferência ocorreu e o que estava escrito no campo memo, ignorando completamente o endereço do destinatário.
Uma verificação confirmando que os fundos foram realmente enviados para a carteira da ponte simplesmente nunca foi adicionada ao código do relayer.
Como resultado, a Coreum aceitou os depósitos falsos e creditou ao hacker um saldo em sua rede. O atacante então solicitou uma retirada regular, e os validadores assinaram as transações enviando 200.000 XRP reais da carteira XRPL da ponte sem hesitação.
A equipe responsável pela segurança da ponte tem um longo histórico de rebranding. Inicialmente criou o projeto Sologenic (SOLO) no XRPL, depois lançou sua própria blockchain Layer 1, Coreum, e em março de 2026 fundiu ambos os ecossistemas sob a marca americana TX, focada na tokenização de ativos do mundo real (RWAs).
O fato de uma empresa americana regulamentada que afirma ter status institucional poder cometer um erro tão básico em sua lógica de verificação cross-chain prejudica a reputação da TX mais do que o valor perdido.
Isso move a questão de quem é o culpado do reino de um bug aleatório para o de controle de qualidade sistêmico dentro da empresa.
O que está acontecendo com os tokens agora?
No momento da escrita, a equipe da TX ainda não havia divulgado um relatório pós-mortem oficial. A ponte Coreum permaneceu completamente suspensa.
A identidade do hacker permanece desconhecida, mas rastreadores on-chain já estão vendo uma tentativa clássica de encobrir seus rastros. O XRP roubado está sendo rapidamente distribuído através de uma cadeia de carteiras de trânsito que foram criadas um mês e meio antes do ataque.
