Pe 9 august 2026, la 19:16 UTC, un cont de pe XRP Ledger a început să trimită bani. Ordinele purtau semnături valide, procedura fusese respectată punct cu punct și nimic din ce se vedea pe lanț nu ieșea din tipar. Contul aparținea punții care leagă XRP Ledger de blockchainul Coreum. O oră și jumătate mai târziu, în el mai rămăseseră 493,5 XRP, în jur de 500 de dolari.
Plecaseră 199.916,3 XRP, adică 99,7% din tot ce ținea puntea, peste 200.000 de dolari la cursul zilei. Nicio cheie privată nu fusese furată. Nicio funcție criptografică nu cedase. Atacatorul nu a forțat nimic, a găsit doar o presupunere pe care nimeni nu se obosise să o verifice în doi ani de funcționare.
Nouăzeci și patru de plăți, toate cu semnătură validă
Tranzacțiile înregistrate pe lanț descriu o operațiune calculată, nu o lovitură dată la noroc. Contul punții avea în jur de 200.410 XRP înainte de incident. Primele mișcări au fost mici, transferuri de sondaj prin care atacatorul verifica dacă mecanismul reacționează așa cum spera. Sumele s-au dublat treptat, apoi ritmul s-a așezat la aproximativ 1.695 XRP la fiecare cincizeci de secunde, cu regularitatea unui robinet lăsat deschis.
Au ieșit din cont 94 de plăți, către două portofele create special pentru ocazie. Fiecare a trecut printr-o semnătură multiplă, cu un cvorum de 17 din 28 de chei de releu, și niciuna nu a fost contrafăcută. Sistemul de autorizare a lucrat exact cum fusese proiectat, doar că a lucrat pe baza unei informații false. Spălarea a început imediat, prin adrese intermediare, cu o viteză care trădează un scenariu pregătit din timp. Echipa care administra puntea a aflat abia câteva ore mai târziu.
Reconstituirea detaliată a incidentului, cu cronologia tranzacțiilor și explicația tehnică pas cu pas, a fost publicată de Cryptology.ro, publicație românească de știri și analize crypto, într-un material semnat de analistul Mihai Popa.
Ce face, de fapt, o punte între două blockchainuri?
Ca să se vadă de ce a funcționat atacul, trebuie coborât un nivel. Blockchainurile nu vorbesc între ele. XRP Ledger nu are cum să afle singur ce se petrece pe Coreum, iar Coreum nu poate citi starea XRP Ledger.
Puntea rezolvă problema printr-un aranjament contabil. Utilizatorul își blochează XRP într-un cont controlat de punte și primește, pe cealaltă parte, o versiune reprezentată a aceleiași sume, un token emis pe blockchainul de destinație. Când vrea să se întoarcă, tokenul este ars, iar XRP original iese din rezervă.
Nimic nu traversează nimic
Formularea uzuală, aceea că un activ este mutat de pe un lanț pe altul, este comodă și înșelătoare. XRP rămâne pe XRP Ledger, în contul punții, până la capătul poveștii. Ce circulă este o creanță asupra rezervei, iar creanța valorează exact cât valorează garanția din spatele ei. Dacă rezerva dispare, tokenul reprezentat arată identic, cu același simbol și aceeași cantitate afișată, dar nu mai acoperă nimic. Deținătorul descoperă asta abia când încearcă să iasă.
Cine decide, atunci, când se emite tokenul și când se eliberează rezerva? În arhitectura Coreum, un grup de noduri numite relee, care urmăresc ambele lanțuri și semnează colectiv operațiunile. Cvorumul de 17 din 28 sună liniștitor, fiindcă nicio entitate izolată nu poate autoriza singură o retragere. Argumentul se sprijină însă pe o ipoteză nescrisă, aceea că operatorii sunt cu adevărat independenți unul de altul. Când toate nodurile rulează același software, cu aceeași eroare în el, independența devine decorativă. Douăzeci și opt de mașini care execută cod identic ajung, previzibil, la aceeași concluzie greșită.
Memoul care a convins releele că banii sosiseră
Mecanismul a fost reconstituit public de cercetătorul Reza Bashash și confirmat apoi prin analize independente ale datelor de pe lanț. Explicația are o simplitate aproape jenantă.
Software-ul releelor supraveghea istoricul contului punții și căuta plăți cu un memo atașat, câmpul de text liber în care utilizatorul indică adresa de destinație de pe Coreum. Prezența unui memo valid era citită drept semnal că un depozit a intrat.
Atacatorul a trimis, între două portofele aflate ambele sub controlul său, chiar tokenul emis de punte, cu memoul potrivit atașat. Pentru că emitentul acelui token era contul punții, tranzacția a apărut în istoricul monitorizat. Codul a găsit memoul, a considerat depozitul autentic și a creditat adresa indicată pe Coreum. Verificarea care lipsea era elementară, nimeni nu confirmase că banii ajunseseră efectiv în cont. O analiză ulterioară a numărat 21 de relee care au atestat separat același depozit inexistent, iar creditele obținute astfel au fost transformate în retrageri de XRP autentic.
De ce prima explicație a comunității nu a rezistat?
În primele ore, o parte din comunitatea XRP a dat vina pe un parametru de configurare numit DefaultRipple. Ipoteza a circulat repede, cum se întâmplă ori de câte ori datele lipsesc și presiunea de a spune ceva este mare, dar a căzut la prima verificare serioasă. XRP nativ nu are nevoie de trust line, iar steagul acela guvernează exclusiv tokenurile emise de punte.
Ce a recunoscut echipa tx și ce a lăsat nespus?
Puntea aparține unui proiect cu o istorie lungă de schimbări de nume. Echipa a construit inițial Sologenic pe XRP Ledger, a lansat apoi blockchainul Coreum și, în 2026, a unificat cele două comunități sub brandul american tx.
Într-un comunicat din 11 august, preluat de CoinDesk, echipa a confirmat incidentul și a admis că software-ul înregistrase drept depozite tranzacții care nu livraseră niciodată XRP către punte. Puntea a fost oprită, vulnerabilitatea corectată, au fost angajați specialiști în analiză forensică pe blockchain și a fost depusă o plângere la Internet Crime Complaint Center, unitatea FBI pentru criminalitate informatică.
Același text menționează că puntea trecuse prin mai multe audituri, interne și externe. Verificarea destinației unui depozit nu este însă o subtilitate criptografică pe care doar un specialist de vârf ar prinde-o, ci genul de control pe care orice recenzie serioasă a codului unei punți îl caută din primele minute. Faptul că a scăpat spune ceva despre profunzimea acelor audituri, nu doar despre calitatea codului.
Partea cea mai grea a comunicatului este și cea mai discretă. XRP-ul reprezentat pe lanțul tx nu este acoperit integral. Cine deține astăzi tokenul are o creanță asupra unei rezerve evaporate, iar puntea fiind suspendată, creanța nu poate fi nici măcar prezentată la ghișeu. Despre despăgubiri nu s-a spus nimic.
Un an în care punțile au redevenit ținta preferată
Cazul Coreum se așază într-o serie lungă. PeckShield număra, la mijlocul lui mai 2026, opt exploatări majore ale unor punți, cu pierderi de aproximativ 328,6 milioane de dolari, iar raportul semestrial Blockaid ajungea la 212 incidente pe lanț și peste 1,1 miliarde de dolari în primele șase luni ale anului.
Exemplele individuale spun povestea mai bine decât cifrele agregate. KelpDAO a pierdut în jur de 292 de milioane printr-o exploatare bazată pe mesaje cross-chain falsificate, iar puntea Verus către Ethereum a fost golită în mai de aproape 11,58 milioane printr-o dovadă Merkle fabricată. Firma care a analizat acel caz a estimat că vulnerabilitatea putea fi eliminată prin zece linii de cod, iar exploatarea ei l-a costat pe atacator zece dolari în taxe de rețea. Asimetria dintre efortul atacului și paguba produsă rămâne, în cazul punților, mai brutală decât aproape oriunde în infrastructura financiară.
Tiparul nu este nou. În 2022, atacurile asupra punților Wormhole, Ronin și Nomad au totalizat, împreună cu altele, în jur de 1,9 miliarde de dolari. Nici atunci problema nu a fost criptografia, ci logica. Punțile cad când validează forma unui mesaj fără să verifice faptul pe care mesajul pretinde că îl descrie. Semnăturile pot fi impecabile și cvorumul întrunit, iar rezultatul complet fals, pentru că nimeni nu a întrebat dacă banii au ajuns cu adevărat.
Prețul XRP și o confuzie care se repetă
Atacul a picat într-un moment prost. Pe 11 august, XRP a coborât sub pragul de un dolar, prima oară de la sfârșitul lui 2024, după ce pierduse deja în jur de 45% din valoare într-un an. Tentația de a lega cele două evenimente este mare, dar în cea mai mare parte nejustificată. Două sute de mii de dolari nu clintesc piața unui activ cu capitalizare de zeci de miliarde, iar scăderea are cauze care preced incidentul cu luni bune. Ce a adăugat atacul a fost sentiment negativ într-o piață deja fragilă, nu presiune reală de vânzare.
Mihai Popa, jurnalist și editorialist specializat în securitate on-chain, insistă în sinteza pieței crypto de la Cryptology.ro asupra unei distincții care se pierde constant în titluri, aceea dintre securitatea unui blockchain și securitatea a ceea ce se construiește deasupra lui. XRP Ledger nu a fost compromis. Consensul a funcționat normal, criptografia nu a fost atinsă, iar utilizatorii care își țin XRP în portofele proprii nu au fost afectați în niciun fel. A cedat o aplicație terță, operată de o companie privată, cu propriul cod și propriile ipoteze.
Ce poate verifica un utilizator înainte să folosească o punte?
Pentru cineva care nu scrie cod și nu citește rapoarte de audit, câteva verificări rămân totuși la îndemână. Rezerva este primul lucru de urmărit, adică ce sume ține puntea în conturile ei și dacă soldul poate fi controlat în timp real de oricine. O punte care nu își expune rezerva verificabil cere încredere pe cuvânt, ceea ce contrazice premisa domeniului.
Contează la fel de mult cine semnează retragerile, câți operatori sunt și dacă rulează implementări diferite ale aceluiași protocol, pentru că un cvorum de douăzeci și opt de semnatari care execută același binar valorează, în practică, cât un singur semnatar. Contează și timpul de expunere. Un token reprezentat păstrat luni de zile într-un portofel doar din inerție înseamnă risc de custodie continuu, fără nicio contrapartidă. Iar mărimea punții nu oferă protecția pe care mulți o presupun, fiindcă punțile mici sunt adesea mai slab monitorizate, cu echipe restrânse și bugete de securitate pe măsură. Rezerva de 200.000 de dolari a punții Coreum nu a descurajat pe nimeni.
Ce rămâne fără răspuns în cazul punții tx?
Identitatea atacatorului nu este cunoscută, deși portofelele implicate sunt urmărite de firme specializate, iar viteza cu care fondurile au fost dispersate lucrează împotriva recuperării cu fiecare zi care trece. Deținătorii de active reprezentate neacoperite nu au primit nicio indicație despre o eventuală despăgubire, iar un raport post-mortem detaliat lipsea în continuare la câteva zile după incident.
Puntea a fost lansată pe 20 martie 2024 și a funcționat mai bine de doi ani înainte ca cineva să descopere că premisa ei fundamentală nu fusese verificată niciodată. Perioada aceasta lungă de aparentă normalitate este partea cea mai neliniștitoare a poveștii. Codul nu a devenit vulnerabil în august 2026, fusese vulnerabil din prima zi. Până pe 9 august, nimeni nu se uitase destul de atent.
Sursa articolului
Materialul de bază al acestei analize este articolul “Puntea Coreum, golită de 99,7% din rezerva de XRP printr-un atac cu depozite fictive“, semnat de Mihai Popa și publicat pe 13 august 2026 pe Cryptology.ro.