Uma ponte cross-chain que um dia chegou a ter mais de 200.000 XRP foi deixada com trocados em menos de duas horas, e ninguém precisou roubar uma única chave privada para fazer isso acontecer. O hack da ponte XRP Coreum drenou 99,7% da reserva que sustentava o conector Coreum-to-XRP Ledger em 9 de agosto, transformando o que deveria ser uma verificação rotineira de depósito em uma porta aberta para um invasor que simplesmente entendia melhor o software do que as pessoas que o operavam.
Principais conclusões
Um atacante drenou 99,7% da reserva de XRP que sustentava a ponte cross-blockchain Coreum em 9 de agosto, deixando-a com cerca de 493 XRP.
199.916 XRP, no valor de mais de US$ 200.000, foram retirados em 94 transações em uma janela de cerca de 97 minutos.
O exploit não envolveu chaves privadas roubadas; ele explorou um software de relayer com bugs que confiava em um memo de transação em vez de verificar o destino real do pagamento.
A TX, a marca por trás da Coreum e da Sologenic, confirmou o incidente, admitiu que o XRP em ponte na sua cadeia não está atualmente totalmente lastreado e disse que uma reclamação foi registrada no FBI.
O XRP caiu abaixo de US$ 1 pela primeira vez desde novembro de 2024, à medida que a notícia se espalhava, embora a queda mais ampla da moeda neste ano tenha precedido o exploit.
O exploit que esvaziou a ponte da Coreum
A ponte da Coreum perdeu praticamente toda a sua reserva de XRP em uma janela de ataque única e altamente comprimida. A conta de liquidez da ponte da Coreum distribuiu 199.916 XRP, avaliados em aproximadamente US$ 200.000, por meio de 94 transações separadas, e cada pagamento trazia a maioria de assinaturas válidas da própria rede de relayers da ponte. Em poucas horas, o projeto descobriu que tinha apenas 493 XRP — abaixo de um saldo que estava em torno de 200.410 XRP antes de o ataque começar.
De acordo com análise on-chain, os saques foram executados em aproximadamente 97 minutos, entre 19:16 e 20:53 UTC. Essa rapidez importou: deu ao atacante uma janela curta, mas suficiente, para encaminhar dezenas de solicitações fraudulentas de saque pelo processo de aprovação do multisig da ponte antes que alguém notasse que a reserva estava desaparecendo.
Isso não foi uma violação do XRP Ledger em si. Nenhum validador foi comprometido e nenhuma carteira teve suas chaves roubadas. O dano veio inteiramente de uma falha na infraestrutura de ponte de terceiros que opera sobre o ledger — uma distinção que importa ao avaliar até que ponto as consequências poderiam se espalhar.
Como o software Relayer foi enganado
A mecânica por trás do exploit do Coreum XRP revela uma lacuna surpreendentemente simples no design da ponte. O software relayer foi construído para analisar o histórico de transações da conta da ponte em busca de pagamentos com um memo específico de destinatário da Coreum, tratando esse memo como prova de que um depósito havia realmente chegado. O que ele nunca fez foi confirmar se o pagamento de fato chegou à carteira de destino correta.
O atacante aproveitou essa lacuna movendo tokens wrapped auto-controlados entre carteiras que ele possuía, anexando um memo formatado pela Coreum a cada transferência. Como esses tokens wrapped haviam sido emitidos originalmente pela própria ponte, as transações apareceram limpas no histórico dela, sem nada que as sinalizasse como depósitos falsos. A lógica do relayer verificava o campo do memo e muito pouco mais, ignorando o endereço do destinatário que teria revelado a fraude.
Essa lacuna direta alimentou como os saques foram aprovados. A autorização exigia que 17 das 28 chaves do relayer assinassem, e cada um desses operadores independentes estava executando o mesmo código falho. Como cada nó avaliou a mesma evidência falsificada e chegou à mesma conclusão errada, a salvaguarda descentralizada da ponte colapsou em um único ponto de falha. Esta é a principal lição da vulnerabilidade do XRP em ponte: distribuir confiança entre muitos operadores oferece pouca proteção se todos estiverem confiando na mesma lógica de verificação quebrada.
TX confirma a violação e chama o FBI
A TX, a marca que uniu as comunidades da Coreum e da Sologenic em um único ecossistema em fevereiro, confirmou o incidente publicamente e não minimizou o que deu errado. A empresa admitiu que seu software “registrou incorretamente transações que nunca entregaram qualquer XRP de fato à ponte como depósitos e cunhou XRP em ponte na cadeia do tx contra elas”.
Essa admissão tem uma consequência financeira direta: a TX reconheceu que o XRP em ponte circulando na cadeia do tx “não está atualmente totalmente lastreado” após o exploit, o que significa que os tokens destinados a representar uma reserva de XRP 1:1 agora estão apenas parcialmente colateralizados. A mesma declaração observou que a ponte passou por “múltiplas auditorias internas e de terceiros antes da implantação”, um detalhe que levanta questões desconfortáveis sobre como uma falha tão fundamental passou pela revisão. A TX também confirmou que uma reclamação formal sobre o hack foi registrada no FBI, e a ponte permaneceu suspensa nos dias seguintes à violação enquanto a equipe trabalhava na resposta.
Por que isso importa além da própria Coreum: um software de ponte auditado falhando em uma etapa de verificação tão básica sugere que o problema talvez esteja menos na complexidade do código e mais em o quanto os sistemas cross-chain são testados sob estresse antes que dinheiro real passe por eles. Para qualquer projeto que ofereça ativos em ponte, esse é um alerta que vale a pena ler com atenção.
Repercussão no mercado à medida que o XRP cai abaixo de US$ 1
O timing do exploit caiu de forma constrangedora para a tendência mais ampla de preços do XRP. O token caiu abaixo de US$ 1 nos dias seguintes ao hack — sua primeira cotação abaixo de US$ 1 desde novembro de 2024. Agora, o XRP perdeu 45% do valor neste ano e está 74% abaixo da máxima histórica, um declínio que vinha sendo construído bem antes do incidente da ponte, mas que as notícias do exploit não fizeram nada para aliviar.
O episódio também serve como um estudo de caso cautelar mais amplo para uma violação de segurança em pontes cripto. Pontes cross-chain dependem de relayers ou validadores atestando que algo realmente ocorreu em outra rede, e quando essa lógica de atestação tem um bug, todo o modelo de confiança construído sobre ela desaba. Como essa falha estava em uma infraestrutura de ponte de terceiros, e não no protocolo central do XRP Ledger, os danos diretos ao ecossistema mais amplo do XRP podem se mostrar limitados. Mas a confiança em versões wrapped e bridgeadas do XRP, e em designs semelhantes baseados em relayers em outros lugares, é outra questão — que provavelmente dependerá de a TX conseguir mostrar que fechou essa lacuna de forma definitiva.
Perguntas frequentes
Como o atacante conseguiu sacar XRP sem roubar chaves privadas?
O atacante explorou um software de relayer com bugs que validava depósitos com base apenas em memos do destinatário, sem verificar o destino real do pagamento, enganando o sistema a tratar depósitos fabricados como se fossem reais.
Por que operadores independentes aprovaram os saques fraudulentos?
Os operadores executaram o mesmo software vulnerável, que aceitou evidência falsa de depósito pelo valor de face. Como cada relayer confiava na mesma lógica falha, eles chegaram à mesma conclusão errada e autorizaram saques que nunca foram legítimos.
Qual foi a resposta oficial da Coreum e da TX em relação ao exploit?
A TX confirmou o incidente, admitiu que o software registrou incorretamente transações que nunca entregaram de fato XRP como depósitos, e revelou que o XRP em ponte na cadeia do tx não está atualmente totalmente lastreado como resultado.
Que ações legais foram tomadas após o hack?
Uma denúncia sobre o hack foi registrada no FBI, de acordo com a declaração de TX confirmando o incidente.
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.